Corona Datenspende App des Robert Koch-Institut
Im Kampf gegen das Coronavirus stellt das Robert Koch-Institut (RKI) eine „Corona Datenspende“-App für Fitnessarmbänder und Smartwatches in den App-Stores von Apple und Google zur Verfügung.
„Eine App, sie zu knechten, sie alle zu finden?“
Das RKI bittet die Bevölkerung mit der Corona Datenspende, freiwillig Daten ihrer Fitnessarmbänder und Smartwatches zur Verfügung zu stellen. Diese Daten können dabei helfen, die Ausbreitung des Coronavirus besser zu erfassen und zu verstehen. Diese App ist noch keine Tracking- bzw. Tracing-App, die ebenfalls auf Bundes- und Europaebene geplant wird.
Auf Basis von Bewegungs-, Schlaf- und Pulswerten der Nutzer können fieberhafte Infektionen erkannt werden. Das RKI kann mit diesen „Datenspenden“ mögliche Coronavirus-Infektionen tagesaktuell abschätzen und „vorhersagen“.
In Ihren Frequently Asked Questions (FAQ) beantwortet das RKI Fragen zur Funktion und zum Datenschutz.
Die App Corona Datenspende und der Datenschutz
Der oberste Datenschützer der Bundesrepublik Deutschland, Prof. Ulrich Kelber, hat in seinem Statement zur „Corona Datenspende“-App die Entwicklung der App begrüßt. Seine Mitarbeiter haben das RKI im Vorfeld bei der Entwicklung beraten. Eine fertige Version der App lag der Behörde bis zum 7. April 2020 jedoch nicht zur endgültigen Prüfung vor.
Auf der Website der App war zunächst zu lesen, dass die App „von Datenschützern geprüft“ sei. Mittlerweile steht nur noch „berücksichtigt den Datenschutz“. Allerdings offenbart die Datenschutzerklärung der App, dass die App vom Datenschutzbeauftragten des Robert Koch-Instituts „geprüft und freigegeben“ wurde. Hier kann man wertfrei berücksichtigen, dass der Datenschutzbeauftragte eine gewisse Unabhängigkeit hat – letzten Endes aber sein Arbeitsentgelt vom RKI bekommt!
Grundsatz der Zweckbindung der Corona Datenspende
Es sollte regelmäßig geprüft werden, ob die App noch den Zweck im Sinne des Grundsatzes der Zweckbindung des Datenschutzes (Art. 5 Abs. 1 lit. b DSGVO) erfüllt. Leistet die App künftig nicht mehr Ihren Beitrag zur Erkennung der Ausbreitung von Coronavirus-Infektionen, sollte die Verarbeitung der Daten beendet werden. Diese Meinung vertritt Prof. Ulrich Kelber.
Wer erhält die personenbezogenen Gesundheitsdaten?
Das Robert Koch-Institut beauftragte das Berliner eHealth-Startup-Unternehmen Thryve / mHealth Pioneers GmbH mit der Entwicklung der App. In das Unternehmen hatte einer der reichsten Menschen Deutschlands, Carsten Maschmeyer, investiert.
Pseudonym, anonym – Wie werden die Daten gespeichert und übermittelt?
Das RKI weiß nicht, wer die Nutzer sind und kann keine Rückschlüsse auf die Namen der Nutzer herstellen. Jeder Nutzer erhält eine persönliche ID, damit Daten im Laufe der Messungen einer ID zugeordnet und analysiert werden können. Daher sind die Daten pseudonymisiert und nicht anonymisiert. Anonym sind die Daten erst, wenn Sie in die wissenschaftfliche Archivierung gehen.
Welche Daten der Nutzer verarbeitet die „Corona Datenspende“-App?
Postleitzahl des Nutzers:
Der Nutzer wird einmalig gebeten, seine Postleitzahl einzugeben. Es werden keine weitere Ortungs- oder Standortdaten abgefragt.
Körperdaten:
Die Corona-Datenspende-App fragt einmalig Geschlecht, Alter, Größe und Gewicht ab. Die Daten werden in groben Schritten (+/- 5 kg bzw. 5 cm) erfasst.
Vitaldaten:
Aktivitäts- und Schlafdaten, Pulsschlag, Körpertemperatur (sofern vom jeweiligen Modell der Fitnessuhr bzw. des Fitnessarmbands unterstützt)
Warum braucht die App die Postleitzahl der Nutzer?
Um eine geografische Ausbreitung der vermuteten Coronavirus-Infektionen nachzuvollziehen, übermittelt die „Corona Datenspende“-App auch den Wohnort als PLZ an das Robert Koch-Institut.
Speicherdauer personenbezogener Daten bis zu 10 Jahren
In der Datenschutzerklärung der App nennt das Robert Koch-Institut eine maximale Speicherdauer der personenbezogenen Daten der Nutzer von 10 Jahren. Diese sehr lange Speicherfrist begründet das RKI mit der Leitlinie 17 der „Leitlinien zur Sicherung guter wissenschaftlicher Praxis“ der Deutschen Forschungsgemeinschaft. In anonymisierter Form, d.h. ohne jeglichen Personenbezug, dürfen die Daten unbegrenzt zu wissenschaftlichen Zwecken archiviert werden.
Datenlöschung gemäß DSGVO empfohlen
Empfehlen kann man daher den Nutzern der App, nachdem die Welt die Coronavirus-Pandemie überstanden hat, beim App-Hersteller bzw. dem Robert Koch-Institut eine Löschung ihrer personenbezogen Gesundheitsdaten zu veranlassen sowie die Einwilligung in die Verarbeitung dieser Daten zu widerrufen. Eine Löschung der Daten ist einfach über die App innerhalb von 24 Stunden möglich.
Fazit
Diese App ist kein Coronavirus-Test. Es wird dem Robert Koch-Institut lediglich ermöglicht, frühzeitig festzustellen, ob die Nutzer der App grippeähnliche Symptome, wie erhöhter Ruhepuls (Hinweis auf Fieber) und ein verändertes Schlaf- und Aktivitätsverhalten, haben. Ob dem Nutzer in der App eine entsprechende „Diagnose“ zur Verfügung gestellt wird, ist zum jetzigen Zeitpunkt noch unklar.
Die Übermittlung der Gesundheitsdaten an das RKI soll in pseudonymisierter Form erfolgen. Ob dies wirklich so ist, kann nicht überprüft werden, da der Softwarequellcode der App nicht öffentlich einsehbar ist. Es ist jedoch anzumerken, dass obwohl das RKI informiert, dass kein Personenbezug (Name, Anschrift) hergestellt werden kann, es trotzdem möglich ist, pseudonyme Daten wieder auf den Nutzer zurückzuführen. So können z.B. auch Versicherungen, die i.d.R. großes Interesse an solchen Gesundheitsdaten von Fitness-Apps haben, mit einem gewissen „Aufwand“ herausfinden, welche Nutzer sich hinter den „pseudonymen“ Daten verbergen.
Nutzer der „Corona Datenspende“-App sollten berücksichtigen, dass sie ihre Gesundheitsdaten nicht nur dem Robert Koch-Institut als Bundesinstitut im Geschäftsbereich des Bundesministeriums für Gesundheit anvertrauen, sondern auch dem Entwickler der App, einem Berliner Unternehmen.
Wer Fitnessarmbänder und Smartwatches gerne nutzt und regelmäßig die Daten zu den Herstellern übertragen lässt, sollte auch mit dieser gemeinnützigen Datenspende kein „Datenschutz“-Problem haben.