Corona-Datenspende-App des RKI: Stellungnahme des Bundesdatenschutzbeauftragten
- „Meiner Behörde liegt bis jetzt noch keine fertige Version der ‘Corona Datenspende’-App vor. Meine Mitarbeiterinnen und Mitarbeiter haben das Robert Koch-Institut im Vorfeld beraten. Grundsätzlich halte ich eine datenschutzkonforme Umsetzung für möglich und begrüße entsprechende Entscheidungen des RKI bei der Konzeption der App. Wir werden die Beratung fortsetzen und anschließend die Datenverarbeitung der App auch im Rahmen unserer Datenschutzaufsicht begleiten.
- Die Bürgerinnen und Bürger müssen eindeutig und widerspruchsfrei informiert sein, welche Daten die App zu welchem Zweck sammelt. Außerdem muss das RKI noch konkretisieren, wie lange die Daten gespeichert werden. Ich erwarte zusätzlich, dass regelmäßig evaluiert wird, ob die App ihren Zweck erfüllt. Tut sie das nicht, muss die Verarbeitung beendet werden. Ganz allgemein weise ich darauf hin, dass das Datenschutzniveau bei Fitness-Trackern und SmartWatches je nach Hersteller sehr unterschiedlich ist. Diese Schnittstelle ist wahrscheinlich das größte Problem aus Sicht des Datenschutzes.
- Noch ein Hinweis: Aus meiner Sicht ist der Name ‘Datenspende-App’ unglücklich gewählt. Auch wenn Betroffene dem RKI ihre Daten freiwillig übermitteln, geben sie das Recht an ihren Daten nicht ab und können ihre Einwillung jederzeit widerrufen. Das RKI hat zugesagt, dass in diesem Fall alle gesammelten Daten gelöscht werden.“
Quelle: Pressemitteilung des BfDI vom 07.04.2020
Corona-Datenspende: RKI-App erschwert Datenschutz-Analyse
Die Corona-Datenspende-App des RKI sammelt Gesundheitsdaten per Fitness-Tracker.
Da die Software leider nicht quelloffen ist, sind die Datenflüsse nicht ersichtlich.
…
Wohin sich die App verbindet (Domains) kann man dennoch feststellen:
Nach Eingabe Postleitzahl: datenspende.und-gesund.de
Während der Nutzung: corona-datenspende.de
Verknüpfung mit Fitbit-Wearable: accounts.fitbit.com, fitbit.com,assets.fitbit.com
Verknüpfung mit Garmin-Wearable: connect.garmin.com, static.garmin.com, sso.garmin.com, static.garmincdn.com,
ajax.cloudflare.com
Verknüpfung mit Polar-Wearable: flow.polar.com, flow.cdn.polar.com,fonts.googleapis.com, gstatic.com
Verknüpfung mit Withings-Wearable: account.withings.com, fonts.googleapis.com, google-analytics.com, google.com
Verknüpfung mit GoogleFit-Wearable: accounts.google.com, ssl.gstatic.com, fonts.gstatic.com, fonts.googleapis.com,
apis.google.com
…
Zieht man zur Bewertung der App die »10 Prüfsteine für die Beurteilung von „Contact Tracing“-Apps« des CCC heran, macht die App keine gute Figur bzw. bei manchen Punkten lässt sich überhaupt keine Aussage treffen.
…
Um es kurz zu machen:
Datenschutzsensible Nutzer können die App eigentlich gar nicht nutzen, da sie vermutlich kein Wearable / Smartwatch besitzen.
Und wenn, dann vermutlich eine datenschutzfreundliche Variante, die hier nicht unterstützt wird.
https://www.kuketz-blog.de/corona-datenspende-rki-app-erschwert-datenschutz-analyse/