D64 – Zentrum für digitalen Fortschritt e.V. setzt sich für die umfassende Gewährleistung der Freiheits- und Persönlichkeitsrechte ein. Wir begrüßen das jüngste Urteil des Bundesgerichtshofs (BGH), nach dem das Setzen von Cookies einer informierten und freiwilligen Einwilligung bedarf. Von Website-Betreibern voreingestellte Häkchen genügen diesen Anforderungen nicht.

Der rechtliche Rahmen in der digitalen Welt muss es ermöglichen, eine wirklich freie Entscheidung treffen zu können, ob Nutzungsverhalten gespeichert und analysiert werden darf oder nicht. Nur dann ist ein selbstbestimmtes digitales Leben möglich.

Die 2018 wirksam gewordene Datenschutz-Grundverordnung (DSGVO) hat die Grundrechte der Bürgerinnen und Bürger auf Achtung des Privatlebens und den Schutz personenbezogener Daten gestärkt und europaweit vereinheitlicht. Die seit 2002 geltende e-Privacy-Richtlinie sollte zur Verordnung weiterentwickelt werden und zeitgleich in Kraft treten. Die Verordnung ist notwendig, um die allgemeinen Regelungen der DSGVO mit speziell auf die digitale Kommunikation zugeschnittenen zu ergänzen. Stattdessen werden sich die Mitgliedstaaten jedoch bis heute nicht einig.

Ziel der Modernisierung der e-Privacy-Richtlinie muss ein hohes Schutzniveau für die Privatsphäre sein. Einwilligungen in Tracking dürfen nicht auf (auch unbewusst) manipulativem Design beruhen. Stattdessen müssen Webseiten und Apps so gestaltet sein, dass die gewünschten Privatsphäre-Einstellungen leicht verständlich sind und ohne unterschwellige Beeinflussung ausgewählt werden können. Dies muss ergänzt werden durch Werkzeuge, in denen Nutzerinnen und Nutzer in Betriebssystemen, Browsern und Apps ihre Entscheidung, ob sie in Tracking einwilligen oder dies verweigern, allgemein hinterlegen. Unternehmen sollten verpflichtet sein, diese Entscheidung zu akzeptieren und sie nicht über Cookie-Banner auf jeder Seite erneut zu hinterfragen. Der technische Standard hierfür existiert bereits: Do-Not-Track.

D64 fordert die Bundesregierung auf, die e-Privacy-Verordnung während der anstehenden deutschen Ratspräsidentschaft voranzubringen und sich für eine Sicherung der Rechte der Nutzerinnen und Nutzer stark zu machen. Am Ende muss eine Verordnung stehen, die die informierte, freiwillige und somit aktive Einwilligung in Tracking-Cookies voraussetzt. Es darf keine Abschwächung dieser Rechte zu Gunsten von überkommenen Geschäftsmodellen geben, die zu einem großen Teil nur funktionieren, wenn die Nutzerinnen und Nutzer nicht frei entscheiden. Der technische Do-Not-Track-Standard muss auch rechtlicher Standard werden.

Vergangenen Mittwoch haben wir ein neues Format gestartet: #D64diskutiert. Über eine Stunde lang hat unser Moderationsteam Vera Weidmann und Erik Tuchtfeld mit Peter Dabrock, Stephan Noller, Lorena Jaume-Palasi, Karl Lauterbach und Lea Beckmann über den Gesetzesentwurf des Bundesgesundheitsministeriums diskutiert, welcher Lockerungen der Freiheitsbeschränkungen für ehemals COVID 19-Erkrankte vorsah. Klar war: Voraussetzung für so eine Diskussion muss sein, dass die Immunität infolge einer Erkrankung wissenschaftlich überhaupt bestätigt ist.

Selbst dann – hier wurde sich die Runde schnell einig – ist Immunität jedoch der falsche Ansatzpunkt. Mehr Freiheit für Immune würde ein fatales und falsches Signal senden. Wenn zukünftig überhaupt Lockerungen vom Gesundheitsstatus abhängig gemacht werden sollen, was beispielsweise bei Besuchsregelungen in Alten- und Pflegeheimen notwendig sein könnte, müssen diese darauf basieren, dass man negativ bzgl. COVID-19 ist, also das Virus nicht in sich trägt. Dafür müssen ausreichend Aktivtests zur Verfügung gestellt werden, die es ermöglichen, eine Infektion mit dem Virus festzustellen. Die Testergebnisse behalten dann aber natürlich auch nur einen sehr kurzen Zeitraum Gültigkeit. Möglich wäre es dann zum Beispiel, Immune in einem solchen System insoweit zu privilegieren, dass bei ihnen die Notwendigkeit regelmäßiger Tests entfällt.

Die Vorteile digitaler Lösungen liegen auf der Hand. Auf diese Art und Weise können Testergebnisse schnell und kurzfristig aktualisiert werden. Mit der richtigen Architektur sind die hinterlegten Gesundheitsdaten zudem besser geschützt als auf einer analogen Dokumentation. Dabei ist es jedoch absolut notwendig, dass hohe Anforderungen an Datenschutz und -sicherheit erfüllt werden. Jede digitale Umsetzung einer Gesundheitsdokumentation muss deshalb quelloffen sein.

Die Offenlegung der Gesundheitsdaten an Private muss außerdem grundsätzlich verhindert werden. Das Teilen solch persönlicher Informationen darf nicht zur Voraussetzung für Supermarkt- oder Restaurantbesuche werden. Um dies effektiv zu verhindern, sollte jede staatliche Regelung, die die Dokumentation des COVID 19-Status etablieren möchte, eine Nutzung dieser Information durch Private bestrafen.

Die erste Ausgabe von #D64diskutiert konnte verschiedene Perspektiven aufzeigen, welche berücksichtigt werden müssen, wenn ein digitales Gesundheitszertifikat in Betracht gezogen wird. Es war uns eine Freude, eine Plattform für einen so konstruktiven Austausch bieten zu können. Wir bedanken uns an dieser Stelle noch einmal ganz ausdrücklich bei den Panelistinnen und Panelisten, unserem technischen Partner ContentFlow sowie allen interessierten Zuschauerinnen und Zuschauern. Auch in Zukunft wollen wir mit #D64diskutiert wertvolle Impulse zu digitalpolitischen Themen liefern!

D64 – Zentrum für digitalen Fortschritt e.V. fordert gemeinsam mit weiteren Unterstützerinnen und Unterstützern in einem offenen Brief den Bundesgesundheitsminister und an den Kanzleramtsminister dazu auf, keine Corona-Tracing-App auf Basis des PEPP-PT-Ansatzes zu verfolgen und die Forderungen aus der Wissenschaft und die Bedenken der IT-Expertinnen und -Experten ernstzunehmen. 

Sehr geehrter Herr Bundesminister Spahn,
sehr geehrter Herr Kanzleramtsminister Braun,

wie Medienberichten zu entnehmen ist, plant das Bundesgesundheitsministerium nun mit einer Corona-Tracing-App auf Basis des Softwaregerüsts der Initiative PEPP-PT (Pan-European Privacy-Preserving Proximity Tracing) mit zentralem Matching. Diese Entscheidung stößt bei uns zwischenzeitlich auf großes Unverständnis, da gerade dies der problematischste unter den vorliegenden Entwürfen ist. Nachdem PEPP-PT nicht in der Lage war, schnell eine halbwegs funktionierende und datenschutzfreundliche Lösung zu liefern, sollte nun den technisch ausgereiften und datenschutzrechtlich gebotenen Ansätzen unbedingt der Vorzug gegeben werden. In der derzeitigen politischen Diskussion werden Erwartungen für eine Corona-Tracing-App geschürt, die möglicherweise nicht eingehalten werden können. Inwiefern sie die Pandemie-Bekämpfung unterstützen kann, wird erst in Monaten zu beurteilen sein. Wir bitten aus diesen Gründen darum, eine Neubewertung der verschiedenen Optionen zu vollziehen und dabei die Argumente und Vorbehalte vieler Expertinnen und Experten stärker zu berücksichtigen sowie ausschließlich auf Lösungen zu setzen, die – im Gegensatz zu dem vorliegenden Vorschlag – technisch von den Betriebssystem-Anbietern auch umsetzbar sind.

Eine Corona-Tracing-App sollte, wenn überhaupt, nur auf Basis eines dezentralen Ansatzes – wie beispielsweise das Konzept DP-3T (Decentralized Privacy Preserving Proximity Tracing) – aufgebaut und programmiert werden. Andernfalls steht zu befürchten, dass der geringe Datenschutz eines zentralen Ansatzes und das Fehlen technischer Beschränkungen gegen Zweckentfremdung dazu führen wird, das Vertrauen in die Verwendung einer solchen App auszuhöhlen und damit die Akzeptanz für spätere digitale Lösungen leichtfertig zu unterminieren.

In der Tat können digitale Lösungen in vielen Fällen maßgeblich dabei helfen, Probleme zu identifizieren und zu lösen – auch bei der Bekämpfung der Pandemie haben digitale Lösungen durchaus ihren Platz. Das haben zivilgesellschaftliche Projekte wie der #WirVsVirus-Hackathon gezeigt. Doch die am Mittwoch veröffentlichten Pläne des Bundesgesundheitsministeriums sind nur eine scheinbar sinnvolle Verwendung digitaler Lösungen im Kampf gegen die Ausbreitung des Corona-Virus. In Wahrheit sind sie für unsere freiheitlich-demokratische Gesellschaft hochproblematisch und ignorieren die Fachdebatte.

Rund 300 internationale Wissenschaftlerinnen und Wissenschaftler haben diese Woche einen offenen Brief unterzeichnet, in dem sie das Datenschutzkonzept von PEPP-PT aufgrund des zentralen Datenspeicherungsansatzes deutlich kritisieren und davon abraten. Zwar wird die zentrale Speicherung unter Datenschutzaspekten damit verteidigt, dass die Daten pseudonymisiert werden. Eine Zurückverfolgung und De-Anonymisierung etwa von infizierten Personen ist bei der Datenerhebung jedoch mit deutlich geringerem Aufwand als bei einem dezentralen Ansatz möglich, wenn die versendeten IDs auf Personen zurückführbar sind. Jedem Ansatz eines möglichen Missbrauchs von Gesundheitsdaten muss entschieden entgegengetreten werden.

Die Europäische Union hat derzeit weltweit ein Alleinstellungsmerkmal mit hohen Datenschutzanforderungen und der auch international wegweisenden Datenschutzgrundverordnung (DSGVO). Durch Forderungen – unter anderem der deutschen Regierung –, Datenschutzanliegen im Angesicht der Pandemie hintanzustellen, werden Glaubwürdigkeit und Gestaltungswirkung für die Zukunft verspielt. Zudem ist ein gemeinschaftlicher europäischer Ansatz bei der Bekämpfung des Virus und für die Kontaktnachverfolgung im gemeinsamen europäischen Binnenmarkt essentiell.

Uns besorgen zudem die immer lauter werdenden Rufe nach einer „Pflicht zur App“ für gewisse Bereiche des Lebens. Die gemeinsame Bekämpfung der Pandemie benötigt Vertrauen und die Kooperation aller. Die Bereitschaft dazu wird mit einer Pflicht ohne Not verspielt. Eine allgemeine Bürgerpflicht, die jede Bürgerin und jeden Bürger zur Preisgabe sensibler Informationen verpflichtet, ist mit einem freiheitlichen Staat nicht zu vereinbaren. Auch die Einführung einer indirekten App-Pflicht, die das Betreten bestimmter Orte von ihrer Verwendung abhängig machen würde, lehnen wir ausdrücklich ab.

Dass es auch anders geht, zeigen die Schweiz und Österreich. Dort wurden Empfehlungen von Expert*innengruppen berücksichtigt, und die Regierungen setzen auf dezentrale und transparente Konzepte. Dabei handelt es sich um exakt den Ansatz, für den sich die beiden Marktführer für Smartphone-Betriebssysteme, Google und Apple, bereits zur Kooperation bereit erklärt haben. Dies ist eine Bedingung, die für den Erfolg einer App immanent ist, denn ohne die Zusammenarbeit mit den beiden Unternehmen, die fast 100 Prozent des Smartphone-Marktes abdecken, ist ein Scheitern der Tracing-App vorhersehbar. Denn der hier gewünschte Einsatzzweck der Bluetooth-Technologie ist neu und in diesem Ausmaß gänzlich unerprobt. Ob die Technologie verlässliche Ergebnisse liefern kann, ist umstritten. Es ist daher unabdingbar, die Betriebssystemhersteller mit einzubeziehen, um eine realistische Chance für einen neuen Einsatzzweck der Technologie zu ermöglichen.

Eine App, die zumindest eine Aussicht auf Erfolg haben soll, muss ein transparentes Konzept verfolgen, quelloffen programmiert werden, auf zentrale Datenspeicherung verzichten und die Anonymität der Nutzerinnen und Nutzer so weitgehend wie möglich schützen. Diese Anforderungen erfüllt der nun eingeschlagene Weg nicht.

Sehr geehrter Herr Bundesminister Spahn, sehr geehrter Herr Kanzleramtsminister Braun, als Unterzeichnende bitten wir Sie deshalb, die Forderungen aus der Wissenschaft und die Bedenken der IT-Expertinnen und -Experten ernstzunehmen und nicht auf einen Weg zu bauen, der von vornherein absehbar zu deutlichen Akzeptanzproblemen führen wird. Das von Ihnen präferierte Konzept für die App ist nicht der richtige Weg. So wird der Gedanke einer digitalen Lösung zur Bruchlandung – und das kann sich in der Bekämpfung der Pandemie niemand leisten.

Unterzeichnende:

• D64 – Zentrum für digitalen Fortschritt e.V.
• Chaos Computer Club e.V. (CCC)
• LOAD e.V. – Verein für liberale Netzpolitik
• Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung e. V.
• Gesellschaft für Informatik (GI) e.V.
• Stiftung Datenschutz