Luca-App: Die „Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder“ (Datenschutzkonferenz oder kurz DSK) hat am 26.3.2021 Stellung zu neuen Technologien der Kontaktnachverfolgung während der Corona-Pandemie bezogen. Es ging um praxistaugliche Lösungen, die gleichzeitig datenschutzkonform nach den Regeln der DSGVO funktionieren. Dabei stand auch die Luca-App der culture4life GmbH im Fokus, die in den letzten Wochen hohes mediales Interesse erfahren hatte. Culture4life hatte daraufhin mehrere Aufsichtsbehörden um ihr datenschutzrechtliches Votum zur App ersucht.
Vorteile der Luca-App im Sinne der DSK
Die Datenschutzkonferenz formuliert wesentliche Forderungen an technologische Lösungen zur Kontaktnachverfolgung, welche die Luca-App der Culture4life GmbH mit seiner App erfüllt. Dazu gehören:
- datenschutzkonformer Betrieb im Sinne der DSGVO
- geeignete Verschlüsselung auf dem jüngsten Stand der Technik (Ende-zu-Ende-Verschlüsselung)
- sicheres Schlüsselmanagement
- automatisierte Datenlöschung entsprechend der gesetzlichen Fristen
- bei Bedarf automatische Übermittlung der Daten aus der App ohne Umweg über Mail oder Fax an das zuständige Gesundheitsamt (zum Beispiel bei Konzert- oder Sportveranstaltungen)
- Information der Nutzer über Risikokontakte per App unter Einhaltung des Datenschutzes
- klare Verteilung von datenschutzrechtlichen Verantwortlichkeiten für die Erhebung und Verarbeitung der Daten
- transparente Regelung der Betroffenenrechte
- Freiwilligkeit der digitalen Erhebung
- strenge Zweckbindung der Datenerhebung allein für die Kontaktnachverfolgung im Sinne des Infektionsschutzgesetzes
Weitere Forderungen der Datenschutzkonferenz an die App
Obgleich die culture4life GmbH den sehr wesentlichen Anforderungen wie gelistet bereits nachkommt, fordert die DSK dennoch weitere Anpassungen der Luca-App.
Ein Punkt betrifft die zentrale Speicherung aller gesammelten Daten im Luca-System. An dieser zentralen Stelle existieren nun sehr viele Informationen über sehr viele Personen. Sollte jemand unbefugte Einsicht an dieser Stelle erlangen, wäre dies aus datenschutzrechtlicher Sicht eine schwere Beeinträchtigung des Datenschutzes, von der einzelne Personen ebenso wie das Gemeinwesen betroffen wären.
Daher soll nun die Culture4life GmbH auf eine dezentrale Speicherung der Daten abstellen. Zwar werden im Luca-System die zentral gespeicherten Daten sehr effektiv verschlüsselt. Die Entschlüsselung können nur ein Veranstalter und das zuständige Gesundheitsamt gemeinsam vornehmen. Allerdings verfügen alle Gesundheitsämter über den gleichen Schlüssel. Dessen Verwaltung liegt allein bei der Culture4life GmbH.
Dadurch entsteht das vermeidbare Risiko, dass jemand entweder bei der Culture4life GmbH oder bei einem Gesundheitsamt die Schlüssel ausspäht und sofort auf sämtliche zentral verwalteten Daten Zugriff hätte.
Ein zweiter Punkt ist die schwierige Überprüfung vonseiten der Veranstalter, ob jemand berechtigterweise eine Entschlüsselung der in der Luca-App gespeicherten Daten anfordert. Sie könnten also den Schlüssel versehentlich bei einem Phishing-Angriff herausgeben.
Es ist möglich, die Luca-App unabhängig zu überprüfen, da die Culture4life GmbH deren Quellcode offenlegen möchte. Möglicherweise werden bei so einer unabhängigen Überprüfung noch mehr Fehler deutlich. Jüngst wurde eine Fehlfunktion bei der Rufnummernüberprüfung bekannt. Daher gilt einen weiterer Check des Luca-Systems als unerlässlich. Die DSGVO schreibt ihn bei Diensten mit dieser Art von Datenspeicherung ohnehin vor.