Beiträge rund um den Datenschutz nach DSGVO und IT-Sicherheit

Fragen des Datenschutzbeauftragten Gerd Bruckner an die Bundesregierung zur geplanten Anti-Corona Tracking App am 18.4.2020

Es gibt derzeit Informationen, dass mehrere Firmen/Organisationen eine Version im Auftrag der Bundesregierung entwickeln. Es liegen Informationen vor, dass eine Version vom Fraunhofer Institut, eine andere Version von data4life (Hasso Plattner Foundation / SAP) und von Google in Zusammenarbeit mit Apple geplant ist. Zum Schutz der personenbezogenen Daten habe ich folgende Fragen:

Frage: Wenn es mehrere Applikationen gibt, welche App wird von der Bundesregierung empfohlen bzw. welche wird von der Bundesregierung für die Eindämmung der Corona Epidemie für die Datensammlung eingesetzt?

Frage: Sind private Institutionen, wie z.B. Hasso Plattner Foundation eingebunden?

Frage: Welche Organisationen auf der datenschutzrechtlichen Seite und bei der technischen Umsetzung werden bzw. wurden in das Projekt Corona App eingebunden?

Frage: Wenn die Datenübertragung, wie geplant, anonymisiert wird, wie erfolgt die Installation auf dem eingesetzten Smartphone und wie erfolgen Updates?

Frage: Ist ein Rückschluss auf personenbezogene Daten, trotz Anonymisierung, möglich bzw. welche Daten werden von wem ausgelesen und anonymisiert resp. wie bzw. was wird anonymisiert?

Frage: Da eine Information auf Smartphones von Betroffenen übertragen wird, bleiben personenbezogene Daten auf dem Host gespeichert, da sonst eine Rückinformation nicht erfolgen kann? Welche bleiben gespeichert, wie werden diese verschlüsselt, wie lange werden diese gespeichert und wie ist die „end to end“ Verschlüsselung?

Frage: Welche Daten werden per Bluetooth zwischen den Smartphones der Personen (Sender - Empfänger) übertragen und wo werden die ausgetauschten Daten gespeichert?

Frage: Wohin werden die Daten der Smartphones übertragen und wer bearbeitet diese?

Frage: Um Transparenz herzustellen, stellt sich die Frage, ob der Code als "open-source" veröffentlicht wird; ist derartiges geplant?

Frage: Welches Protokoll wird bei der Datenübertragung zwischen den Smartphones auf der einen Seite und bei der Datenübertragung an den Host zur Sammlung aller Smartphones auf der anderen Seite eingesetzt?

Frage: Welcher Verschlüsselungsfaktor / Protokoll wird eingesetzt, um größtmögliche Sicherheit zu gewährleisten?

Frage: Welche Organisation(en) erhält/erhalten die Daten zur statistischen Auswertung?

Frage: Wenn private Organisationen eingebunden sind, welche sind das und wie wird für die nötige Datensicherheit der personenbezogenen Daten dort gesorgt?

Frage: Wie resp. auf welchem Weg wird die App bereitgestellt?

Frage: Wie erfolgt ein Update resp. wird es automatisch übertragen oder gibt es Optionen ein Update abzulehnen?

Frage: Welche Daten z.B. „Cookies“ werden mit der App auf dem Smartphone gespeichert? Wie können diese entfernt werden?

Frage: Wie lange werden diese Daten auf dem Smartphone gespeichert?

Frage: Wie kann die App vom Smartphone entfernt und welche Daten bleiben zurück?

Frage: Damit die App jede Person hat, ist ein Smartphone notwendig; was ist mit Personen, die kein Smartphone besitzen? Gibt es Restriktionen bei Ablehnung der Installation?

Frage: Welche Auftragsverarbeiter sind involviert und welche Strafen sind bei Missachtung für die Auftragsverarbeiter vorgesehen?

Frage: Wie wird sichergestellt, dass Daten und Ergebnisse nicht an Versicherungen, Banken und andere interessierte Geschäftszweige weitergegeben werden?

Die Dokumentation des PEPP-PT ( Pan-European Privacy-Preservinge Proximity Tracing) unter dem Titel " Data Protection and Information Security Architecture - Ilustrated on German Implementation" ist auf GitHub zu finden.

Zu dem genannten Themenkomplex haben am 20.4.20 die nachfolgenden Medien Artikel veröffentlicht:

• Süddeutsche Zeitung vom 20.4.2020: In einem offenen Brief warnen knapp 300 Wissenschaftler vor "beispielloser Überwachung". Jetzt könnte die wichtigste Ressource schwinden, die es für eine App braucht: das Vertrauen der Nutzer.
• ZEIT online vom 20.4.2020: Wissenschaftler warnen von "beispielloser Überwachung"
• TAZ online vom 20.4.2020: Kritik an mangelnder Transparenz