Bewegungsdatenauswertung in Zeiten der Pandemie – Lösen oder Schaffen eines (neuen) Problems?
dieser Beitrag ist eine Ko-Produktion von Michael Gogola, Claudia Kral-Bast und der Autorin
Die Standortverfolgung haben viele Nutzer*innen auf ihrem Smartphone abgedreht. Was aber wenn trotzdem (manche) Anbieter sämtlliche Bewegungsdaten (anonym) auswerten würden? Sollte zum Zwecke der Eindämmung der Covid19-Pandemie die Standorterfassung doch zugelassen werden? Welche Auswirkungen hätte das?
Aktuell wird diskutiert, ob eine Auswertung von Bewegungsdaten bei der Eindämmung des Corona-Viruses hilfreich sein könnte. A1 hat nicht lange gefragt, sondern die – statistisch zusammengefassten und anonymisierten – Bewegungsdaten seiner Kund*innen der Regierung freihaus geliefert.
autoritäte Verhältnisse im Anmarsch?
Bei allem Interesse am Schutz der Gesundheit der Bevölkerung dürfen Grund- und Freiheitsrechte nicht aufs Spiel gesetzt werden. Auch wenn Bundeskanzler Kurz “chinesische Verhältnisse” zwar ablehnt, so sagte er doch im gleichen Atemzug im Ö1 Abendjournal vom Donnerstag 26.3.2020, die bisher gesetzten Maßnahmen müssten erst wirksam werden und die Einhaltung von Spielregeln müsse – eventuell mittels Big Data – überprüft werden können. Das legt weitere Überwachungspläne inplizit nahe. Die Devise lautet scheinbar: Wenn ihr eure Bewegungsfreiheit – zumindest teilweise – wiedererlangen wollt, lasst euch überwachen und gebt eure Bewegungsdaten her. Wenn diese Logik mehrheitsfähig wird, weil die Menschen die soziale Isolation nicht mehr aushalten und “ein bisschen tracking” als das geringere Übel betrachten, ist das ein Angriff auf gleich mehrere Grundrechte. Der weise Satz des Schriftstellers Benjamin Franklin hat auch in Zeiten von Corona-Viren Bedeutung:
Wer die Freiheit aufgibt, um Sicherheit zu gewinnen, wird am Ende beides verlieren.
Benjamin Frankin
Contact tracing Einzelner oder anonymisierte Bewegungsdaten aller?
Zwei unterschiedliche Szenarien werden derzeit diskutiert.
Einerseits wird die personenbezogene Nutzung von Bewegungsdaten diskutiert beziehungsweise in manchen Staaten auch angewendet. So soll nachvollzogen werden, wann sich eine bestimmte Person wo aufgehalten hat und wie nahe der/die Einzelne dabei anderen gekommen ist.
Dieses contact tracing wird aktuell in Deutschland diskutiert, wobei die Bewertungen zwischen “Unfug” und “Lebensrettend” changieren. Es kam in Taiwan zum Einsatz und wurde als sehr erfolgreich propagiert, weil die Krankheit trotz großer Nähe zum chinesischen Festland vergleichsweise wenige Todesfälle verursachte. In Israel wurde Handyortung als “Anti- Terrormaßnahme” am Parlament vorbei durchgesetzt. Nationalstaaten setzen auf Auswertung von Bewegungsdaten um die Pandemie einzudämmen.
Contact tracing verrät, dass sich eine Person – bzw. ihr Smartphone – an einem bestimmten Ort befindet bzw. befunden hat und ob andere in der Nähe gewesen sind. Nicht nachvollzogen werden kann jedoch, warum sich eine Person wo bewegt hat. Kam es zu einem Unfall und wollte jemand helfen? Hält man sich in einer Wohngemeinschaft mit mehreren betreuungsbedürftigen Menschen auf? Es müssten also wohl einige Ausnahmen geschaffen werden und somit kann erst recht nicht überprüft werden, ob sich eine bestimmte Person an die Regeln hält. Standortdaten auf Einzelpersonenebene stellen eine Art „elektronische Fußfessel“ dar, ohne aber dass die Person sich etwas zuschulden kommen lassen hätte.
Als zweites Szenario steht eine anonyme Auswertung von sämtlichen Bewegungsdaten im Raum. So sollen (verbotene) Versammlungen festgestellt werden. Zielsetzung davon ist, zu prüfen, ob Ausgangsbeschränkungen eingehalten werden, ob Versammlungen stattfinden bzw. die Beteiligten per anonymer Pushnachricht vor einer möglichen Infektion zu warnen.
Sollen also gezielt ausschließlich die Bewegungsdaten infizierter Personen und damit auch aller potentiell infizierten oder lieber von allen Personen ausgewertet werden?
ob kollektiv oder individuell – bei der Überwachung entstehen immer Probleme
Schon technisch ist die Erfassung von GPS/WLAN-Bewegungsdaten via Smartphone und Apps potentiell ungenau. Wer etwa (wie in Szenario a) in den letzten zwei Wochen in der Nähe einer infizierten Person war, liefert Unmengen Ergebnisse, allein schon aufgrund der vertikalen Ansammlung von Menschen in Häusern. Es bräuchte einiges an technischen Ressourcen um die entsprechenden Datensicherheitsmaßnahmen zu ergreifen, die verlässlich auswerten, Plausbilitätsprüfungen durchführen, „false positives“ herausfiltern, eine tatsächliche Anonymisierung gewährleisten, die Datenübertragung absolut sicher vor Zugriff gestalten, etc.
Aus medizinischer Sicht bräuchte es große Ressourcen um all jene Menschen, die (angeblich) miteinander in Kontakt waren, täglich während der zweiwöchigen Inkubationszeit zu testen. Testkits und Personal müssten in entsprechender Menge vorhanden sein.
Organisatorisch wäre es wohl auch schwierig, die gewünschten Ziele zu erreichen. Bis die korrekte Auswertung erfolgt wäre und eine Ansammlung von Menschen durch polizeiliches Einschreiten aufgelöst wäre, gäbe es die (illegale) Versammlung vermutlich schon nicht mehr.
Für das Szenario mit flächendeckender Nachverfolgung von Bewegungsdaten ergäbe sich auch ein räumliches Problem. Es wäre wohl nur für unbebautes oder wenig besiedeltes Gebiet geeignet, da in jedem mehrstöckigen Gebäude „Gruppen“ zustande kommen.
Zusätzlich stellt sich die Frage , wie im Bereich der öffentlichen Infrastruktur (z.B. Verkehrsmittel, Spitäler, etc.) aber auch im privaten Raum “Ansammlungen” von Menschen (zB größere Familienverbände, Wohngemeinschaften, etc.) beurteilt werden. Ausnahmen von der Überwachungsmaßnahme wären erforderlich.
Nicht verwunderlich, dass Viktor Meyer-Schönberger, Professor an der Oxford Universitiy und Big-Data-Publizist der ersten Stunde, der Big-Data-Analyse von Bewegungsströmen etwas abgewinnen kann, wie er im Ö1 Morgenjournal vom 30. März 2020 sagt. Selbst Datenschützer*innen können der statistischen Bewegungsdatenauswertung etwas abgewinnen. Allerdings gewähren Big-Data-Auswertungen nicht die Anonymität, die sie versprechen. Dass Bewegungsdaten gänzlich anonym sind (und bleiben), wird bezweifelt.
Befürworter*innen der personenbezogene Auswertungen trifft man derzeit eher in der Regierung von Südkorea. Die Überwachung in Südkorea ging allerdings mit massiven Datenleaks und Stigmatisierung Erkrankter einher, empfiehlt sich also nicht zur Nachahmung.
Es stellt sich also die Frage: Braucht es einen Überwachungsstaat, um das Virus zu stoppen? Gäbe es bessere Maßnahmen als Standortdatenüberwachung? Welche Faktoren sind ausschlaggebend, um das Covid19-Virus einzudämmen?
Wie es jedenfalls kaum funktionieren wird, ist mit einer Zwangsüberwachung aller Smartphones. Die Menschen, die ihren Standort nicht bekannt geben oder ausgewertet wissen wollen, werden dann eben ohne Handy aus dem Haus gehen.
Wie kann eine rechtmäßige Auswertung von Bewegungsdaten funktionieren?
Im demokratischen Rechtsstaat braucht es zur Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Eine solche ist im Hinblick auf die angedachten Maßnahmen nicht ersichtlich. Weder das Covid-19-Maßnahmengesetz noch die Verordnung dazu können eine derartige Überwachung legitimieren.
Eine Datenverarbeitung muss immer einen eindeutigen Zweck haben. Und dieser Zweck muss mit den gelindesten Mitteln verfolgt werden. Ob eine flächendeckende Auswertung von Bewegungsdaten das gelindeste Mittel darstellt, darf bezweifelt werden.
Betroffenen müssen jedenfalls effektive Mittel zur Durchsetzung ihrer Rechte zur Verfügung stehen. Es braucht rechtsstaatliche Sicherungsmechanismen. In Zeiten, in denen auch Gerichte im Notbetrieb arbeiten und viele Materien nicht behandelt werden können, ist das ein schwieriges Unterfangen. Umso sensibler muss daher vorgegangen werden.
Die technische Komplexität der Materie macht überdies eine ausführliche Technikfolgenabschätzung (also eine Datenschutzfolgenabschätzung gemäß Datenschutzgrundverordnung) unter Beteiligung aller Stakeholder unumgänglich. Eine solche muss als parlamentarisch kontrollierter, demokratischer Prozess gestaltet sein. Eine wichtige Rolle sollte der parlamentarische Beirat für Technologiefolgenabschätzung spielen, der die Gesetzgebungsorgane berät und Gesetzgebungsprozesse begleitet. Ebenso müsste die Datenschutzbehörde hier eingebunden werden.
Alternative Vorschläge zur Überwachung mittels Bewegungsdaten
Um eine Gruppe zu identifizieren, die prioritär getestet werden soll, wäre eine andere Maßnahme wohl sinnvoller. Nicht eine technische, sondern soziale/medizinische Bestimmung der Gruppe wäre einfacher durchzuführen und würde die Grundrechte weniger einschränken: Tests bei medizinischem Personal, Sozialarbeiter*innen, Handelsangestellten und anderen die aufgrund ihres Berufs häufig Kontakte zu (infizierten) Menschen haben
- Es muss klargestellt werden, welche Daten für eine allfällige Überwachung herangezogen werden dürfen (z.B. Daten aus Funkzellen, Daten aus öffentlichen WLANS, Daten privater Handyanbieter, privater App-Anbieter (zB Sport, carsharing), eine Triangulation mehrere Datenquellen,…???) und wem diese Bewegungsdaten in welcher Form zur Verfügung gestellt werden (z.B. ist Rückverfolgen auf Einzelpersonen möglich? wenn ja, wann und für wen?)
- In jedem Fall muss zuvor eine rechtliche Grundlage geschaffen werden. Telematikgesetz und Epidemiegesetz geben beide einer solchen allgemeinen Überwachungsmaßnahme keine ausreichende Grundlage.
- Eine zeitliche Beschränkung von Maßnahmen muss vorhanden sein. Eine Löschung der Daten nach Ende der Frist muss garantiert sein. Unter dem Eindruck der Krise bereits vorgenommene Änderungen im Telekommunikationsgesetz sehen weitreichende Ermächtigungen und hohe Strafen vor – eine wirksame zeitliche und sachliche Begrenzung ist unumgänglich
- Die mühsam errungene und EU-weit gültige Datenschutzgesetzgebung darf nicht bei erster Gelegenheit über Bord geworfen werden; die Teilnahme an derartigen Maßnahmen muss freiwillig bleiben.
Robert-Koch-Institut und Fraunhofer-Institut sind bereits eifrig dabei eine freiwillige, datenschutzgesetzkonforme App zur Ermittlung von Bewegungsdaten zu entwickeln. Die deutsche Datenschutz-Plattform Netzpolitik.org sieht andere, weniger technische Maßnahmen zur Covid-19-Bekämpfung als erfolgversprechend an:
ein gut ausgebautes Gesundheitssystem etwa samt ausreichenden Testkapazitäten; handlungsfähige Behörden, die rasch eventuell Infizierte ausfindig machen und sie gegebenfalls isolieren; und ein politisches System, das seinen Bürgern vertraut und umgekehrt.
Die Eindämmung einer Pandemie beruht auf vielen Maßnahmen. Handydaten können bei der Analyse helfen, bei der Heilung wohl eher weniger. Sind die Daten erst einmal erhoben, werden “erweiterte Nutzungen” vermutlich nicht lange auf sich warten lassen (z.B. Kontrolle von Betretungsverboten, etc.). Für ein sozial-medizinisches Riesenproblem, scheint eine technische Lösung nur sehr eingeschränkt hilfreich. Andere Maßnahmen versprechen größere Wirkung.