Bundesdatenschutzbeauftragter: „Gesundheitsschutz scheitert nicht am Datenschutz“

Kelber mahnte Telekom und RKI aber, dass sie durch eine Offenlegung der Datenstrukturen für mehr Vertrauen sorgen könnten. Er sehe dafür aber keine Eile geboten, so Kelber: „Dort wird gerade mit aller Kraft an der Bekämpfung einer Pandemie gearbeitet. Wir sollten dem Institut als Gesellschaft einen Vertrauensvorschuss geben. Klar ist aber, dass die Datenstrukturen früher oder später offengelegt werden müssen.“

Lesen Sie hier das ganze Interview:

Herr Kelber, Gesundheitsminister Jens Spahn (CDU) hat einmal gesagt „Datenschutz ist etwas für Gesunde“. Dürfen wir in der Coronakrise Abstriche beim Datenschutz machen?
Ich halte den Satz für polemisch und falsch. Gerade Kranke benötigen den Schutz ihrer Daten. Auch jetzt gilt, dass jede Maßnahme immer danach geprüft werden muss, ob sie erforderlich, geeignet und verhältnismäßig ist. Gesundheitsschutz scheitert nicht am Datenschutz.

Sorgen Sie sich derzeit um den Datenschutz in Deutschland?
Wir Datenschützer sind es gewohnt, dass jede Möglichkeit genutzt wird, um den Datenschutz dauerhaft zu schwächen. Deshalb mache ich mir zu diesem Punkt momentan nicht mehr Sorgen als sonst auch.

Spahn hatte am Wochenende in einem Gesetzentwurf vorgesehen, dass Gesundheitsbehörden anhand von personenbezogenen Handy-Standortdaten Corona-Infizierter deren Aufenthaltsort bestimmen dürfen. Zwar sind nach unseren Informationen die Pläne erst einmal wieder gestoppt. Ist aber nicht allein der Gedanke daran ein Grund zur Sorge?
Zum Gesetzentwurf selbst kann ich nichts sagen, das würden wir in unserer Stellungnahme im Rahmen der Ressortabstimmung tun. Aber ganz grundsätzlich: Alle Maßnahmen der Datenverarbeitung müssen wie gesagt erforderlich, geeignet und verhältnismäßig seien. Bisher fehlt jeder Nachweis, dass die individuellen Standortdaten der Mobilfunkanbieter einen Beitrag leisten könnten, Kontaktpersonen zu ermitteln, dafür sind diese viel zu ungenau.

Beim Robert-Koch-Institut (RKI) gibt es aber noch immer Überlegungen, anhand einer App personenbezogene GPS-Daten zu sammeln, um Infizierte zu tracken.
Mit einer informierten Einwilligung der Betroffenen wäre so etwas grundsätzlich umsetzbar. Für die konkrete Umsetzung stellt sich aber eine Reihe von Fragen. Daher bin ich froh, dass das RKI unsere Beratung sucht.

Die Deutsche Telekom hat bereits Mobilfunkdaten ihrer Kunden an das RKI weitergegeben, das daraus Bewegungsströme für die Pandemie-Bekämpfung herauslesen will. Zwar sind die Daten anonymisiert, trotzdem ist die Weitergabe ein Novum. Wird der Datenschutz nicht bereits aufgeweicht?
Nein, das Verfahren ist datenschutzrechtlich vertretbar. Solche Daten wurden schon vorher zu kommerziellen Zwecken zur Verfügung gestellt. Das RKI hat ähnliche Datensätze bereits einmal in der Vergangenheit eingekauft. Die – diesmal kostenlose – Weitergabe halte ich unter diesen Umständen für unproblematisch.

Nun sagt die Telekom aber, so umfangreiche Daten habe sie noch nie weitergegeben.
Es handelt sich erstmals um bundesweite Daten, sonst ging es wohl immer um Regionen. Das ändert datenschutzrechtlich nichts, weil es nicht um personenbezogene Daten geht. Durch diese Daten kann niemand erkennen, wo eine einzelne Person sich aufhält oder was sie tut.

Forschungen zeigen aber, dass die Anonymisierung von Daten in vielen Fällen nicht sicher ist, weil die Gefahr besteht, dass sie zu personenbezogenen Daten zurückgeführt werden können.
Diese Kritik stimmt grundsätzlich. Hier werden die Daten aber auf wenige Merkmale reduziert, zu Gruppen zusammengefasst und nach Abschluss der Arbeiten gelöscht. Die Re-Personalisierungs-Gefahr ist also extrem gering. Problematisch ist hingegen die Forderung mancher, die Daten öffentlich zugänglich zu machen, damit auch andere daran forschen können. Große Internetkonzerne, die zusätzlich die Nutzungsdaten von den Smartphones der Bürger haben, könnten so kombiniert womöglich durchaus einzelne Personen identifizieren.

Ihre Erkenntnisse über die Form der Anonymisierung bei der Telekom stützen sich auf das Jahr 2015, damals hatte ihre Vorgängerin das Verfahren freigegeben. Seitdem hat sich technisch viel getan. Wie kann die Freigabe überhaupt noch etwas wert sein?
Wir haben in der Zwischenzeit keine Erkenntnisse bekommen, dass es aus technischer Sicht Probleme gibt. Trotzdem werden wir uns insbesondere anschauen, wie die Daten anonymisiert werden. Zwar gilt die DSGVO nicht für anonymisierte Daten. Es braucht aber eine Rechtsgrundlage, weil beim Schritt der Anonymisierung erst einmal personenbezogene Daten verarbeitet werden müssen.

Zu diesen rechtlichen Grundlagen endet am Montag ein Konsultationsverfahren Ihres Hauses. Bis Sie die Stellungnahmen ausgewertet haben, wird noch einige Zeit vergehen.
Dieses Konsultationsverfahren, dass wir Anfang des Jahres gestartet haben, war mein persönlicher Wunsch. Trotzdem können wir in einer solch kritischen Phase mit dem Coronavirus nicht einfach bei der Datenverarbeitung einen Stillstand verordnen, bis unser Konsultationsverfahren durch ist. Deswegen bleibt erst einmal unsere bisherige Haltung bestehen.

Wäre eine kurzfristige Datenschutz-Prüfung beim RKI eine Option?
Aktuell steht keine Prüfung dort an, auch wir haben unsere Leute möglichst ins Home-Office geschickt. Wir sind mit dem RKI aber natürlich in ständigem Austausch. Uns stehen alle Instrumente der Aufsicht zur Verfügung, auch Löschungsanordnungen und Untersagungen.

Schafft das Vorgehen nicht Verunsicherung in der Bevölkerung?
Ich freue mich über die Sensibilität der Bevölkerung. RKI und Telekom könnten für mehr Offenheit sorgen, indem sie offenlegen, wie die Datenstruktur aussieht und was sie mit den Daten machen.

Das könnten Sie doch anordnen, sind Sie doch auch Bundesbeauftragter für die Informationsfreiheit.
Auf private Unternehmen wie die Telekom habe ich keinen Zugriff. Auf das RKI zwar schon, aber dort wird gerade mit aller Kraft an der Bekämpfung einer Pandemie gearbeitet. Wir sollten dem Institut als Gesellschaft einen Vertrauensvorschuss geben. Klar ist aber, dass die Datenstrukturen früher oder später offengelegt werden müssen.

Vielen Dank für das Interview, Herr Kelber.

Dieser Beitrag ist ein Auszug aus dem exklusiven Fachbriefing Handelsblatt Inside Digital Health. Zweimal in der Woche analysieren wir dort die neuesten Entwicklungen im Bereich digitale Gesundheit.

Zur Anmeldung geht es hier.