Die Datenschutzkonferenz hat sich in ihrer 101. Sitzung zentral mit dem Einsatz digitaler Kontaktnachverfolgungssysteme befasst und die datenschutzrechtlichen Anforderungen an derartige Systeme und ihren Betrieb erläutert.
Die 101. Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) tagte am 28. und 29. April 2021 als Videokonferenz unter dem Vorsitz der Landesbeauftragten für Datenschutz und Informationsfreiheit des Saarlandes, Monika Grethel.
Ein zentrales Thema der Konferenz bildete der Einsatz digitaler Kontaktnachverfolgungssysteme. Soweit die Bundesländer Gastronomiebetriebe, Kultureinrichtungen und weitere Stellen durch Verordnung zur Verarbeitung von Kontakt- und Anwesenheitsdaten von Besucher:innen, Kund:innen und Gästen verpflichten, bieten mittlerweile eine Vielzahl an Anbietern digitale Dienste zur Kontaktnachverfolgung an. Daher hat die DSK die datenschutzrechtlichen Anforderungen an derartige Systeme und ihren Betrieb in einer an Entwickler und Verantwortliche gerichteten „Orientierungshilfe der DSK zum Einsatz von digitalen Diensten zur Kontaktnachverfolgung anlässlich von Veranstaltungs-, Einrichtungs-, Restaurants- und Geschäftsbesuchen zur Verhinderung der Verbreitung von Covid-19“ erläutert.
Die DSK betont dabei, dass im Zusammenspiel zwischen Dienstanbieter, zur Kontaktdatenerhebung verpflichtete Stelle und Gesundheitsamt die Sphären der jeweiligen datenschutzrechtlichen Verantwortlichkeit eindeutig abgegrenzt werden müssen und für die so verarbeiteten personenbezogenen Daten eine strenge Zweckbindung gilt. Dem Risiko für Rechte und Freiheiten natürlicher Personen, das sich durch Umfang und Sensibilität der im Rahmen der Kontaktnachverfolgung verarbeiteten Daten ergibt, muss der Dienstanbieter ferner durch ausreichende Maßnahmen zur Datensicherheit begegnen.
Da sich mittlerweile die Mehrzahl der Bundesländer dafür entschieden hat, vertragliche Vereinbarungen mit dem Anbieter des Dienstes „Luca“ einzugehen, hat sich die DSK ergänzend zur ersten vorläufigen Bewertung vom 26. März 2021 erneut mit diesem System befasst. In ihrer Stellungnahme weist sie darauf hin, dass trotz einer dem Grunde nach tragfähigen Konzeption des Luca-Systems weitere technische Schutzmaßnahmen zur Verhinderung von sich aus missbräuchlichen Nutzungen ergebenden Risiken als erforderlich anzusehen sind. Ebenso betont die Konferenz, dass es keinen Nutzungszwang für digitale Kontaktnachverfolgungssysteme geben dürfe.
Angesichts der jüngst erfolgten funktionalen Erweiterung der Corona-Warn-App (CWA) hebt die DSK in der Entschließung „Chancen der Corona-Warn-App 2.0 nutzen“ die mit der Nutzung der CWA verbundenen datensparsameren Möglichkeiten der Clustererkennung und Kontaktbenachrichtigung hervor und appelliert an die Länder, die CWA in ihre Konzepte zur Pandemiebekämpfung einzubinden sowie deren Nutzung zu fördern.