Wer persönliche Gesundheitsdaten im Rahmen einer Datenspende im Kampf gegen Corona zur Verfügung stellt, sollte die Einwilligung in die Verarbeitung dieser Daten nach dem Ende der Pandemie widerrufen, empfiehlt ein IT-Beratungsunternehmen.
im Kampf gegen das Coronavirus stellt das Robert Koch-Institut (RKI) seit einigen Wochen eine „Corona Datenspende“-App für Fitnessarmbänder und Smartwatches in den App-Stores von Apple und Google zur Verfügung. Die Bevölkerung soll freiwillig Daten ihrer Fitnessarmbänder und Smartwatches zur Verfügung stellen, denn diese können nach RKI-Angaben dabei helfen, die Ausbreitung des Coronavirus besser zu erfassen und zu verstehen. Gesammelt werden sollen Bewegungs-, Schlaf- und Pulswerte der Nutzer, anhand derer fieberhafte Infektionen erkannt werden können. Das RKI kann mit diesen Datenspenden mögliche Coronavirus-Infektionen tagesaktuell abschätzen und vorhersagen.
„Diese App ist kein Coronavirus-Test. Es wird dem Robert Koch-Institut lediglich ermöglicht, frühzeitig festzustellen, ob die Nutzer der App grippeähnliche Symptome, wie einen erhöhten Ruhepuls, der Hinweis auf Fieber sein kann, und ein verändertes Schlaf- und Aktivitätsverhalten, haben“, macht Patrycja Tulinska, Geschäftsführerin des in Fulda ansässigen IT-Beratungsunternehmens PSW Group Consulting, deutlich.
Daten sind pseudonymisiert, nicht anonymisiert
Ob dem Nutzer in der App allerdings eine entsprechende „Diagnose“ zur Verfügung gestellt wird, ist zum jetzigen Zeitpunkt noch unklar. Die IT-Sicherheitsexpertin betrachtet vor allem den Datenschutz der App skeptisch: „Wer Fitnessarmbänder und Smartwatches gerne nutzt und regelmäßig die Daten zu den Herstellern übertragen lässt, sollte auch mit dieser gemeinnützigen Datenspende kein Datenschutz-Problem haben. Alle anderen sollten sich die Datenschutzerklärung unbedingt genauer ansehen.“ Die Übermittlung der Gesundheitsdaten an das RKI soll in pseudonymisierter Form erfolgen: Jeder Nutzer erhält eine persönliche ID, damit Daten im Laufe der Messungen einer ID zugeordnet und analysiert werden können. Daher sind die Daten in einem ersten pseudonymisiert und nicht anonymisiert.
Anonym sind die Daten erst, wenn sie in die wissenschaftliche Archivierung gehen. „Ob die Daten wirklich pseudonymisiert übermittelt werden, kann nicht überprüft werden, da der Softwarequellcode der App nicht öffentlich einsehbar ist“, macht Tulinska aufmerksam und gibt zu bedenken: „Obwohl das RKI angibt, dass kein Personenbezug wie Name und Anschrift der Nutzer hergestellt werden kann, ist es technisch trotzdem möglich, pseudonyme Daten wieder auf den Nutzer zurückzuführen.“ So könnten beispielsweise Versicherungen, die meist großes Interesse an Gesundheitsdaten von Fitness-Apps haben, mit einem gewissen „Aufwand“ herausfinden, welche Nutzer sich hinter den „pseudonymen“ Daten verbergen.
Lange Speicherfrist
Die „Corona Datenspende“-App verarbeitet die Nutzerdaten-Postleitzahl, um eine geografische Ausbreitung der vermuteten Coronavirus-Infektionen nachzuvollziehen, Körperdaten und Vitaldaten. So fragt die Corona-Datenspende-App Geschlecht, Alter, Größe und Gewicht ab. Hinzu kommen Aktivitäts- und Schlafdaten, Pulsschlag und Körpertemperatur. Diese personenbezogenen Daten der Nutzer werden für bis zu 10 Jahre gespeichert. Diese sehr lange Speicherfrist begründet das RKI mit der Leitlinie 17 der „Leitlinien zur Sicherung guter wissenschaftlicher Praxis“ der Deutschen Forschungsgemeinschaft. In anonymisierter Form, also ohne jeglichen Personenbezug, dürfen die Daten unbegrenzt zu wissenschaftlichen Zwecken archiviert werden.
Nutzer der „Corona Datenspende“-App sollten zudem berücksichtigen, dass sie ihre Gesundheitsdaten nicht nur dem Robert Koch-Institut als Bundesinstitut im Geschäftsbereich des Bundesministeriums für Gesundheit anvertrauen, sondern auch dem Entwickler der App, dem Berliner Unternehmen E-Health-Startup Thryve / mHealth Pioneers GmbH.
„Ich empfehle Nutzern der App, nachdem die Welt die Coronavirus-Pandemie überstanden hat, beim App-Hersteller beziehungsweise dem Robert Koch-Institut eine Löschung ihrer personenbezogen Gesundheitsdaten zu veranlassen sowie die Einwilligung in die Verarbeitung dieser Daten zu widerrufen. Eine Löschung der Daten ist einfach über die App innerhalb von 24 Stunden möglich“, rät Patrycja Tulinska.