Je länger die zur Verlangsamung der Corona-Infektionswelle von den Landesregierungen verhängten Beschränkungen des privaten und öffentlichen Lebens andauern und je belastender die wirtschaftlichen Folgen dieser Maßnahmen werden, desto dringlicher wird die Diskussion um zusätzliche oder alternative Maßnahmen zur Eindämmung der Pandemie geführt. Im Vordergrund stehen dabei das inzwischen ubiquitäre Smartphone und seine Fähigkeit, Informationen über den Standort und die Umgebung seines Trägers zu erfassen und zu teilen. Das „Tracking“ von Bürgern anhand der Daten ihrer Mobiltelefone soll es erlauben, Infektionsketten schnell nachzuvollziehen und zu unterbrechen. Erfahrungen aus Asien (scheinen zu) belegen, dass mit solchen technischen Mitteln ein wirksamer Beitrag zur Kontrolle des Corona-Ausbruchs geleistet werden kann.
In Europa stoßen solche Überlegungen wenig überraschend nicht nur bei Datenschutzfundamentalisten auf erhebliche Bedenken. Die Vorstellung, das eigene Telefon könnte zum Einfallstor für eine lückenlose Überwachung von Aufenthaltsorten und Kontakten werden, lässt viele Bürger erschaudern. Politiker und Datenschutzbeauftragte dürften auf breite Zustimmung stoßen, wenn sie erklären, der Einsatz von Standort- und Handydaten als Mittel der Seuchenbekämpfung sei allenfalls zulässig, wenn er in jeder Hinsicht datenschutzkonform und – besonders wichtig – auf freiwilliger Basis erfolge.
Abzuwarten bleibt allerdings, ob dieser breite Konsens auch dann bestehen bleibt, wenn sich die Lage nicht in dem erhofften Tempo entspannt und die Regierungen von Bund und Ländern nach Ostern vor der Entscheidung stehen, ob sie mit einer Verlängerung von Ausgangs- und Kontaktbeschränkungen zugleich eine Wirtschaftskrise mit u. U. unabsehbaren Folgen in Kauf nehmen. Schon jetzt werden Forderungen aus wirtschaftsnahen Kreisen laut, auch ohne Einwilligung bestimmte Bewegungsdaten (z. B. aus der Kreditkartennutzung) zur Infektionsbekämpfung zu verwenden.
Der vorliegende Beitrag wirft nach einem kursorischen Überblick über die verschiedenen Möglichkeiten der Seuchenbekämpfung per Handy, die derzeit in der Diskussion oder – vor allem im Ausland – bereits umgesetzt sind, aus rechtlicher Perspektive die Frage auf, ob der Einsatz solcher Maßnahmen tatsächlich nur mit Einwilligung der betroffenen Bürger erfolgen kann.
Was machen die anderen?
Befürworter wie Kritiker des Einsatzes von Smartphone- und Mobilfunktechnik im Kampf gegen COVID-19 berufen sich auf die Erfahrungen, die vor allem in ostasiatischen Ländern gemacht wurden:
- Südkorea hat in der Epidemiebekämpfung offenbar durch den Einsatz einer GPS-basierten App Erfolge erzielt. Die App schlägt „Alarm“, wenn eine Person den ihr zugewiesenen zulässigen Aufenthaltsbereich verlässt. Es liegen aber auch Berichte vor, dass infizierte Personen öffentlich bloßgestellt wurden, weil sie durch die Verwendung der App identifiziert werden konnten. Das könnte Betroffene davon abgehalten haben, eine Infektion anzuzeigen.
- In Taiwan wird eine GPS-basierte App verwendet, um die Einhaltung von Ausgangssperren zu überwachen. Die App alarmiert die zuständigen Behörden, wenn das Smartphone den zulässigen Aufenthaltsort des Trägers verlässt. Sie schlägt auch an, wenn das Handy ausgeschaltet wird. In einer Reihe von Fällen sollen deshalb Bürger Besuch von der Polizei erhalten haben, weil der Akku ihrer Smartphones leer war.
- Als datenschutzfreundliche Lösung wird die App „TraceTogether“ aus Singapur gehandelt. Die App verwendet keine Standortdaten, sondern registriert mit Hilfe von Bluetooth-Signalen andere Smartphones in ihrer Umgebung und vergibt jeweils temporäre IDs, die nur auf den betroffenen Geräten gespeichert werden. Erkrankt ein App-Nutzer an COVID-19, kann dieser sein Bewegungsprofil freischalten, sodass die IDs, mit denen innerhalb der vorangegangenen 21 Tage relevanter Kontakt bestand, durch eine Push-Nachricht informiert werden können.
Welche Maßnahmen werden in Deutschland umgesetzt oder diskutiert?
- In Deutschland wie in den anderen EU-Mitgliedstaaten haben sich die Mobilfunkanbieter bereits frühzeitig dazu bereit erklärt, den zuständigen Behörden oder Stellen (in Deutschland das Robert-Koch-Institut) anonymisierte Standortdaten aus Funkzellenabfragen zur Verfügung zu stellen. Anhand dieser Daten können Bewegungsströme z. B. in Gebieten mit Ausgangsbeschränkungen nachvollzogen werden, um die Effektivität der Maßnahmen zu bewerten. Die Datenschutzbehörden haben dieses Vorgehen akzeptiert.
- Keinen Erfolg hatte demgegenüber ein Gesetzentwurf des Bundesgesundheitsministeriums, mit dem die Mobilfunkanbieter dazu verpflichtet werden sollten, dem RKI unter bestimmten Voraussetzungen auch Standortdaten individueller Mobilfunknutzer zu überlassen. Neben grundsätzlichen Bedenken wegen der verfassungsrechtlichen Zulässigkeit eines solchen Eingriffs in das Telekommunikationsgeheimnis und das Grundrecht auf informationelle Selbstbestimmung hielt eine breite Front von Kritikern diesem Vorschlag vor allem entgegen, Standortdaten aus Funkzellenabfragen seien viel zu ungenau und deshalb ungeeignet, um die Kontakte von infizierten Personen zu identifizieren.
- Die größte Aufmerksamkeit und Unterstützung erhält derzeit der Ansatz einer europäischen Forschungsinitiative, die eine Basistechnologie für Apps namens Pepp-PT entwickelt hat. Ähnlich wie TraceTogether aus Singapur setzt Pepp-PT auf die Bluetooth-Technologie. Deren Vorteil besteht darin, dass sie auf kurze Distanzen ausgelegt ist und genaue Daten innerhalb ihres Anwendungsradius erfassen kann. Jeder Kontakt mit einem anderen Gerät, das die entsprechende App installiert und Bluetooth aktiviert hat, kann dadurch tatsächlich metergenau bestimmt werden. Die so erfassten Kontakte werden unter einer pseudonymen ID nur auf dem jeweiligen Endgerät verschlüsselt. Wird bei einem Nutzer der App eine COVID-19-Infektion festgestellt, kann er die in seinem Gerät gespeicherten Kontakte der letzten 14 Tage freigeben, die dann per Push-Nachricht über einen speziellen Server darüber informiert werden, dass sie Kontakt mit einer infizierten Person hatten. Dabei werden weder die Identität der infizierten Person noch Ort und Zeit des Kontakts offengelegt. Diese Lösung wird allgemein als datenschutzkonform angesehen und u. a. auch vom Bundesdatenschutzbeauftragten unterstützt, allerdings stets mit der Einschränkung, dass die Nutzung für die Bürger freiwillig bleiben muss.
Geht „Tracking“ tatsächlich nur auf freiwilliger Basis?
Die beste technische Lösung kann nichts bewirken, wenn sie nicht auch tatsächlich zum Einsatz kommt. Schätzungen gehen davon aus, dass ca. 30 bis 60 % der Bevölkerung eine App auf der Basis von Pepp-PT nutzen müssten, damit eine ausreichend hohe Quote von Kontakten mit infizierten Personen identifiziert werden kann. Installieren nicht genügend Smartphone-Nutzer eine solche App und bleiben die Infektionszahlen weiterhin auf einem Niveau, das eine Lockerung der Ausgangs- und Kontaktbeschränkungen nur um den Preis einer Überlastung der Gesundheitssysteme erlauben würde, wird sich die Frage kaum umgehen lassen, ob der Staat seine Bürger auch zwangsweise zur App-Nutzung verpflichten könnte.
Was sagt das EU-Recht?
EU-Recht steht einer solchen staatlichen Anordnung grundsätzlich nicht entgegen. Art. 9 der Datenschutz-Grundverordnung erlaubt es den Mitgliedstaaten ausdrücklich, aus Gründen eines erheblichen öffentlichen Interesses Rechtsgrundlagen für die Verarbeitung von sensiblen (Gesundheits-)Daten zu schaffen.
Und das Grundgesetz?
Der Ball liegt damit im Feld des nationalen (Verfassungs-)Rechts. Die Verpflichtung zur Nutzung einer Technologie, die Standortdaten oder Kontakte speichert und auswertet, stellt einen weitreichenden Eingriff in das Grundrecht auf informationelle Selbstbestimmung dar. Ein solcher Eingriff ist nicht unter allen Umständen unzulässig; kein Grundrecht gilt schrankenlos und der Schutz anderer Grundrechte und Verfassungsgüter kann auch erhebliche Beschränkungen rechtfertigen. Erforderlich ist dafür aber in jedem Fall eine parlamentsgesetzliche Grundlage, die die wesentlichen Bedingungen für den Grundrechtseingriff, insbesondere die Voraussetzungen und Grenzen, hinreichend bestimmt regelt. Die bestehenden gesetzlichen Bestimmungen z. B. im Infektionsschutzgesetz oder im Telekommunikationsgesetz wären dafür wohl nicht ausreichend und müssten zunächst angepasst werden.
Ein solches Gesetz zur Anordnung oder Ermöglichung eines „Zwangstracking“ muss den Anforderungen des Verhältnismäßigkeitsgebots genügen. Das heißt, es muss geeignet und erforderlich sein, die mit ihm verfolgten Gemeinwohlinteressen – Schutz der Gesundheit der Bevölkerung und Aufrechterhaltung der öffentlichen Ordnung – zu erreichen. Darüber hinaus darf es die betroffenen Grundrechtsträger nicht unangemessen schwer beeinträchtigen.
Bei der Beurteilung von Eignung und Erforderlichkeit grundrechtsbeschränkender Maßnahmen hat der Gesetzgeber einen Prognose- und Beurteilungsspielraum. Das ist gerade in der von vielen Unsicherheiten geprägten aktuellen Situation von besonderer Bedeutung. Trotzdem dürfte etwa die zwischenzeitlich angedachte zwangsweise Abschöpfung und Verarbeitung von individuellen Standortdaten aus der Mobilfunknutzung bereits am Eignungserfordernis scheitern, solange nicht begründet werden kann, wie die vergleichsweise ungenauen Funkzellendaten wirksam zur Unterbrechung von Infektionsketten genutzt werden könnten.
Besonderes Gewicht kommt bei der Entscheidung über einen Zwang zur Nutzung von Tracking-Technologien dem Kriterium der Erforderlichkeit zu. Der Gesetzgeber muss sorgfältig abwägen, ob andere, weniger belastende Mittel zur Verfügung stehen, um mit vergleichbarem Erfolg gegen die Ausbreitung des Corona-Virus vorzugehen. Solange die Förderung freiwilliger Maßnahmen und Initiativen ausreichenden Erfolg verspricht, sind Zwangsmittel nicht erforderlich und damit unzulässig. Wenn aber prognostisch davon ausgegangen werden muss, dass eine ausreichende Nutzerzahl für eine Tracking-App auf freiwilliger Basis nicht oder nicht hinreichend schnell erreicht werden kann, und nur noch die Wahl zwischen einer Verlängerung (oder Verschärfung) von Ausgangsbeschränkungen und der Verpflichtung zur Nutzung von Tracking-Technologien besteht, kann das Urteil anders ausfallen. Man wird jedenfalls dem Grundrecht auf informationelle Selbstbestimmung keinen generellen Vorrang vor anderen Grundrechten wie der Bewegungsfreiheit und der wirtschaftlichen Betätigungsfreiheit zusprechen können. Sieht sich der Gesetzgeber einer Situation gegenüber, in der die Verwirklichung eines Grundrechts nur noch auf Kosten eines anderen Grundrechts möglich ist, muss er für einen möglichst schonenden Ausgleich sorgen. Denkbar wäre zum Beispiel, statt einer flächendeckenden Anordnung der Installation und Nutzung von Tracking-Apps eine solche Pflicht nur für Bürger zu begründen, die eine Ausnahme von ansonsten weitergeltenden Ausgangs- und Kontrollbeschränkungen für sich in Anspruch nehmen wollen. Die Bürger hätten so die Wahl, ob sie lieber in „freiwilliger“ Isolation bleiben wollen oder eine Einschränkung ihrer informationellen Selbstbestimmung hinnehmen.
Schließlich muss immer die Angemessenheit von staatlich angeordneten (Zwangs-)Mitteln gewahrt bleiben. Der Einsatz von Smartphones als „elektronische Fußfessel“ wie in manchen asiatischen Ländern praktiziert, dürfte in Deutschland allenfalls unter eng definierten Voraussetzungen in Betracht kommen, wenn Personen, bei denen konkreter Infektionsverdacht besteht, Anlass zu der Befürchtung geben, dass sie sich nicht an die behördlich angeordneten Quarantäne Maßnahmen halten werden. Die Polizeigesetze einiger Länder sehen für vergleichbare Konstellationen zudem eine vorherige richterliche Kontrolle vor.
Demgegenüber könnte eine offensichtlich datenschutzfreundliche Technologie wie Pepp-PT auch bei staatlich angeordneter Zwangsnutzung die Verhältnismäßigkeit der Mittel unter Umständen noch wahren. Allerdings hätte der Gesetzgeber vor einer solchen Entscheidung noch viele weitere Detailfragen abzuwägen, die hier nicht im Einzelnen behandelt werden können. Offen ist z. B., wie mit Bürgern umzugehen wäre, die kein Smartphone besitzen (wollen). Ob die in diesem Zusammenhang diskutierten Vorschläge, Armbänder mit Bluetooth-fähigem Chip und vorinstallierter Pepp-PT-Technologie bereitzustellen, praktikabel und flächendeckend umzusetzen wären, ist ungewiss.
Fazit
Vorläufig können wir alle nur hoffen, dass die Eindämmung der Corona-Pandemie auch ohne weitere Einschränkung persönlicher und wirtschaftlicher Freiheiten gelingt. Sollte diese Hoffnung aber enttäuscht werden, wäre der Gesetzgeber rechtlich nicht daran gehindert, zum Schutz anderer wichtiger Grundrechte und Gemeinwohlinteressen auch Eingriffe in das Grundrecht auf informationelle Selbstbestimmung vorzunehmen. Im Rahmen der von der Verfassung gezogenen Verhältnismäßigkeitsgrenzen liegt die Entscheidung über das Ob und Wie eines „Zwangstracking“ in den Händen der Politik.
Weiterleiten