Das Märchen von der Freiwilligkeit

Schuetze/ Mai 25, 2020/ alle Beiträge, Datenschutz in Zeiten von Corona, Gesundheitsdatenschutz/ 1Kommentare

In der öffentlichen Diskussion um die Corona-App* hat es sich durchgesetzt, dass deren Anwendung freiwillig sein soll. Was bedeutet das eigentlich?

Infrage kommende Rechtsgrundlagen für die Verarbeitung personenbezogener (Gesundheits-)Daten sind entweder

• eine gesetzliche Vorschrift, die zur Nutzung verpflichtet oder
• eine Einwilligung des Nutzers

Die gesetzliche Verpflichtung ist vom Tisch.

Eine Einwilligung ist nach der DS GVO eine Erklärung, die

• vollständig informiert und
• freiwillig, d.h. ohne jeden Zwang

abgegeben wird.

Fehlt auch nur eines dieser Merkmale, ist die Einwilligung rechtsunwirksam, gleich wie viele Dokumente erstellt und digital oder analog durch den Nutzer bestätigt wurden.

Aufgrund einer rechtsunwirksamen Einwilligung dürfen keine personenbezogenen Daten, schon gar keine Gesundheitsdaten verarbeitet werden, vgl. Art 6 (1) und 9 (2) DS GVO.

Dass es Probleme bei der Information gibt, solange u.a. nicht feststeht, wer als verantwortliche Stelle die App betreiben wird, kann hier außen vor bleiben. Hierauf wurde an anderer Stelle eingegangen.

An der Freiwilligkeit der Einwilligung in die Nutzung der Corona-App bestehen erhebliche Zweifel.

Ist der Betreiber eine Behörde (infrage kommen z.B. die Gesundheitsämter), ist jede Aufforderung zur Nutzung missverständlich.

Bisher werden Aufforderungen der Gesundheitsämter als verpflichtende Anordnung verstanden, so zum Beispiel die Maskenpflicht und die Pflicht, im Restaurant Name, Adresse und Verbindungsdaten zu hinterlassen.
Die Aufforderung zur Nutzung der Corona-App könnte einer behördlichen An­ordnung, also stattlichem Zwang gleich kommen, zumindest so missverstanden werden. Bürger*innen gehen – zu Recht – mit behördliche Aufforderungen so um, dass sie sie einhalten, gleich ob sie sie für sinnvoll erachten oder nicht.
Zu Ende wäre es mit der Frei­willigkeit.

Dem trägt der Erwägungsgrund 43 der DS GVO Rechnung:

(43) Um sicherzustellen, dass die Einwilligung freiwillig erfolgt ist, sollte diese in besonderen Fällen, wenn zwischen der betroffenen Person und dem Verantwort­lichen ein klares Ungleichgewicht besteht, insbesondere wenn es sich bei dem Verantwortlichen um eine Behörde handelt, und es deshalb in Anbetracht aller Umstände in dem speziellen Fall unwahrscheinlich ist, dass die Einwilligung freiwillig gegeben wurde, keine gültige Rechtsgrundlage liefern.

Auf diesem Weg – mit einer Behörde als Betreiber – kann also eine freiwillige Erklärung nicht gewährleistet werden.

Ist dagegen der Verantwortliche ein Unternehmen – das könnte der Software-Hersteller oder ein ganz neues, aus dem Boden gestampftes Unternehmen sein –  ergeben sich andere Schwierigkeiten bei der Freiwilligkeit.

Schon haben Fluggesellschaften angekündigt, nur solche Passagiere zum Flug zuzulassen, die die Corona-App vorweisen können und mit deren Hilfe nachweisen können, nicht ansteckend zu sein. Die Motivation der Flug-Betreiber ist eindeutig. Man möchte nicht Sitzabstände im Flugzeug mit unwirtschaftlichen leeren Sitzplätzen einhalten müssen, sondern lieber auf anderem Wege den Infektionsschutz gewährleisten.
Fitnessstudios, Restaurantbetreiber und Hotels mögen mit dem gleichen Argument der Wirtschaftlichkeit folgen.

Genau vor solchen Verbindungen zwischen einer Dienstleistung und einer Daten­schutz-Einwilligung, die keinen inneren Zusammenhang mit der Dienstleistung selbst haben, will uns die DS GVO durch ein Kopplungsverbot schützen:
So sagt der Art 7 (4):

(4) Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.

Dieses Kopplungsverbot bedeutet, dass in dieser Konstellation Freiwilligkeit nicht gegeben ist.

Das bedeutet, auch Unternehmen wird es nicht möglich sein, eine Datenschutz-Einwilligung zu gewährleistet, die dem Anspruch der Freiwilligkeit auch nur annähernd genügt.

Unterm Strich spielt es daher keine Rolle, ob der Betreiber eine Behörde oder ein Unternehmen sein wird. In keinem Fall kann eine freiwillige Erklärung sicher gestellt werden.

Gibt es keine Freiwilligkeit, gibt es insgesamt keine Einwilligung in die Nutzung der Corona-App. Die gegenteilige Annahme ist ein Märchen.

* Zur Klarstellung: Dieser Beitrag bezieht sich auf die Tracking App, die sich merkt, wann wer wem so nahe gekommen ist, dass es zu einer Infektion hätte kommen können. Andere Corona-Apps, die auch in der öffentlichen Diskussion waren, sind hier nicht gemeint.

Von Roland Schäfer

Ergänzung vom 7. Juni 2020

Offenbar wurde das Problem erkannt. Justizminister von vier Bundesländern – Sachsen, Thüringen, Berlin und Hamburg – setzen sich dafür ein, dass die Freiwilligkeit der Nutzung dieser Corona-App gesetzlich geregelt wird; so eine Meldung von Heise vom 3. Juni 2020. Dies soll Missbrauch verhindern. Damit wäre wenigstens die zweckentfremdende Nutzung der Daten der C.-App rechtswidrig. Ob jedoch jemand dem Druck standhält, kurz vor dem Besteigen eines Flugzeuges oder Betreten eines Fitnessstudios oder Restaurants, die Vorlage der App-Daten zu verweigern, lässt erhebliche Zweifel offen.