Corona-Exit oder Datenschutz?

Tracing-App und digitaler Corona-Ausweis – die Digitaltechnik soll den Weg aus dem Corona-Lockdown ebnen. Doch es gibt rechtliche Bedenken. Macht der Datenschutz den Unternehmen und der Politik einen Strich durch die Rechnung?

Je länger der Stillstand des öffentlichen Lebens andauert und je spürbarer vor allem die wirtschaftlichen Folgen werden, desto mehr Hoffnungen richten sich auf digitale Lösungen, die eine Beschleunigung auf dem Weg zurück in die Normalität versprechen. Seit Wochen im Mittelpunkt der Diskussion steht das Konzept einer „Tracing-App“, die mittels der Bluetooth-Funktion des Smartphones potentiell infektionsrelevante Kontakte mit anderen App-Nutzern erfasst und für einen bestimmten Zeitraum speichert. Wird bei dem Nutzer der App eine Infektion festgestellt, können die gespeicherten Kontaktpersonen umgehend per Push-Nachricht informiert werden. Dadurch sollen Infektionsketten schnell und effizient unterbunden werden. Ein zweiter digitaler Baustein für die Lockerung von Beschränkungen der Bewegungsfreiheit und des Arbeitslebens könnte der „digitale Corona-Ausweis“ sein, den jüngst ein Konsortium von Tech-Unternehmen vorgestellt hat. Diese auf Blockchain-Technologie basierende Lösung soll den manipulationssicheren Nachweis einer überstandenen COVID-19-Infektion oder eines negativen Virustests ermöglichen. Für den Inhaber eines solchen „Ausweises“, der ebenfalls die Form einer App annehmen dürfte, könnte das die Voraussetzung für die Rückkehr zum Arbeitsplatz oder in ein normales soziales Leben schaffen.

Auf jede Vorstellung solcher Konzepte folgt verlässlich der mahnende Hinweis, dass die Vorgaben des Datenschutzrechts unbedingt einzuhalten seien. Offen bleibt dabei, wie diese Vorgaben aussehen und ob sie am Ende den Einsatz von Tracing- und Ausweis-Apps überhaupt zulassen. Einige Klarstellungen sind daher angebracht:

Eindeutig sind zunächst die Anforderungen an die technische Ausgestaltung der Apps. Es gilt nach der Datenschutz-Grundverordnung (DSGVO) der Grundsatz „Privacy by Design“, d.h. jede technische Lösung muss so konzipiert sein, dass nur so wenige personenbezogene Daten wie unbedingt nötig so missbrauchssicher wie möglich verarbeitet werden. Verfahren zur Anonymisierung oder Pseudonymisierung sowie zur Verschlüsselung von Daten sind anzuwenden, soweit das technisch möglich ist und den Zweck der App nicht infrage stellt. Die Entwickler der angesprochenen Tracing-Apps und digitalen Corona-Ausweise versprechen in dieser Hinsicht vorbildliche Lösungen.

Mehr Verwirrung herrscht hinsichtlich der datenschutzrechtlichen Rahmenbedingungen für den Einsatz von Corona-Apps. Oft ist zu hören, das Datenschutzrecht erlaube nur die freiwillige Nutzung solcher technischen Lösungen. Daran ist richtig, dass der mündige Bürger mit seiner Einwilligung im Prinzip jede Form der Datenverarbeitung legitimieren kann, auch wenn es um sensible Gesundheitsdaten geht. Wirksam ist eine solche Einwilligung nur, wenn sie freiwillig erteilt wird, wobei Freiwilligkeit die Freiheit von rechtlichem oder tatsächlichem Zwang meint. Davon kann keine Rede sein, wenn die Zustimmung zur Datenverarbeitung in einer App zur Voraussetzung dafür gemacht wird, dass eine Ausgangssperre aufgehoben wird oder der Betroffene an seinen Arbeitsplatz zurückkehren kann.

Heißt das, Unternehmen dürfen den Zugang zum Betriebsgelände für Mitarbeiter unter keinen Umständen vom (digitalen) Nachweis der Infektionsfreiheit abhängig machen? Nein. Denn das Datenschutzrecht kennt eben nicht nur die freiwillige Einwilligung als Rechtsgrundlage für die Datenverarbeitung. § 26 des Bundesdatenschutzgesetzes erlaubt Arbeitgebern die Verarbeitung von Beschäftigtendaten auch ohne Einwilligung, soweit das für Zwecke des Beschäftigungsverhältnisses erforderlich ist. Angesichts der Fürsorgepflicht des Arbeitgebers für die gesamte Belegschaft und der Gefahr, dass die Infektion eines Arbeitnehmers die Schließung ganzer Abteilungen nach sich ziehen kann, besteht damit eine ausreichende Rechtsgrundlage z.B. für die Forderung nach der Vorlage eines digitalen Corona-Ausweises am Werkstor.

Demgegenüber lässt sich eine allgemeine Pflicht zur Nutzung einer Tracing-App auf der Grundlage des geltenden Rechts nicht begründen. Auch das bedeutet aber nicht, dass der Datenschutz einer solchen Nutzungspflicht unüberwindbar entgegensteht. Wenn sich herausstellen sollte, dass der Anteil der freiwilligen Nutzer einer Tracing-App an der Bevölkerung nicht das Quorum erreicht, das für eine effektive Unterbrechung von Infektionsketten erforderlich ist, müsste der Gesetzgeber entscheiden, ob und unter welchen Voraussetzungen ein Nutzungszwang angeordnet werden soll. Zu einem solchen Eingriff ermächtigt die DSGVO die nationalen Gesetzgeber ausdrücklich, wenn es um die Wahrung wichtiger Gemeinwohlinteressen geht und die Verhältnismäßigkeit der Mittel gewahrt bleibt. Letztlich ist es also Aufgabe der Politik, den Einsatz digitaler Lösungen zur Bewältigung der aktuellen Krise und zur Wahrung der Grundrechte auf Bewegungs- und (wirtschaftliche) Betätigungsfreiheit in einen angemessenen Ausgleich mit dem Datenschutz zu bringen.

Dr. Christian Hamann