Daten­schutz — Was bedeu­tet das eigentlich?

Vor zwei Wochen wurde die SwissCovid-App offiziell lanciert. Bis heute verzeichnet sie schon mehr als 1 Million Downloads. Jetzt wo die Landesgrenzen wieder offenstehen, wir uns frei bewegen und die Reisen zunehmen, steigt auch die Gefahr von unbemerkten Ansteckungen mit dem Virus.

Mit der SwissCovid-App hoffen die Verantwortlichen auf eine zusätzliche Wirkung, als Ergänzung zu den Abklärungen der kantonsärtzlichen Dienste. Wer auf seinem Smartphone die App installiert und die Übertragungstechnologie Bluetooth aktiviert, würde mit einer Nachricht informiert, wenn man längere Zeit einer infizierten Person nahegekommen ist und damit eine Ansteckungsgefahr bestanden hat. Dabei muss sich erst noch zeigen, ob es dem BAG gelingt, den Leuten zu vermitteln, dass sie trotz tiefer Fallzahlen die App installieren sollen.

Ein wichtiges Thema und eines der grössten Problematiken der App stellt der Datenschutz dar. Den Entwicklern rund um die ETH Lausanne und Zürich war es von Anfang an wichtig, dass keine persönlichen Daten der App-Benutzer erfasste werden. Um das zu erreichen, hat es einiges an Verhandlungen mit den amerikanischen Anbietern Google und Apple gebraucht, damit Daten auf dem Telefon und nicht zentral gespeichert würden.
Der Datenschutz ist jedoch nicht erst seit der SwissCovid-App wieder in aller Munde. Er ist eines der bestimmenden Themen der Digitalisierung. Durch die stetige Zunahme der weltweiten Vernetzung wächst auch der virtuelle Markt und somit der Wert von Konsumenten- und Nutzerdaten. Damit die Rechte aller Personen bezüglich ihrer Daten gewahrt bleiben, wird Datenschutz in Zukunft immer wichtiger.

Spätestens seit Mai 2018 und der Einführung der neuen EU-Datenschutz-Grundverordnung, sind alle Unternehmen, die sich im Internet präsentieren, davon betroffen. Mit der Inkraftsetzung der EU-Datenschutz-Grundverordnung (EU-DSGVO) und der geplanten ePrivacy-Verordnung (voraussichtlich 2020) hat die EU eine Welle von Massnahmen losgetreten, die die Persönlichkeit und Freiheiten von Datensubjekten schützen sollen. Die Umsetzung der europäischen Datenschutzverordnung und des Entwurfs für die Revision des neuen Datenschutzgesetzes der Schweiz, stellen Schweizer Unternehmen vor grosse Herausforderungen. Die Verantwortlichen sind also gefordert: Sie müssen die neuen Datenschutzrichtlinien ganzheitlich betrachten, um sie kosteneffizient und marktkonform implementieren.

Um Schweizer und internationale Datenschutzanforderungen zu erfüllen, muss eine Firma in die Datensicherheit investieren. Massnahmen und zusätzliche Infrastruktur zur Gewährung der Datensicherheit, wie Software, IT-Lösungen und Schulung von Angestellten, sind heutzutage nicht mehr wegzudenken.
Ein gutes Datensicherheitskonzept garantiert, dass Daten so transportiert und aufbewahrt werden, dass sie weder veränderbar sind noch gestohlen oder kopiert werden können. Mitarbeitende und Führungspersonen sollten auf den sicheren Umgang mit Daten sensibilisiert werden. Auch müssen sie mit Tools zur Umsetzung der Datensicherheit vertraut sein. Eine weitere Frage ist: «Wo stehen wir mit der Informationssicherheit und dem Datenschutz?» Technik und Wissensstand entwickeln sich permanent weiter und verlangen deshalb eine regelmässige Überprüfung auf Aktualität.

Um noch etwas mehr Licht in diese komplizierte Thematik zu bringen, haben wir bei einem Spezialisten nachgefragt. Maurizio Cencigh ist ‎Enterprise Security Architect und kennt sich bestens aus.

Lieber Herr Cencigh zuerst eine Frage zu GDPR (Deutsch: DSVGO). Können Sie unseren Lesern kurz erklären um was es sich hierbei handelt?

Bei GDPR (General Data Protection Regulation) handelt es sich um ein Datenschutz Gesetz der EU welches am 25.5.2018 in Kraft getreten ist.

Wem nützt bzw. wen schützt das GDPR?

Das GDPR regelt die Sammlung sowie die Aufbewahrung, die Be-/Verarbeitung und die Weitergabe von personenbezogenen Informationen/Daten zum Schutze der betroffenen Person. Zudem wird die Transparenz und Auskunftspflicht über die gesammelten Daten reguliert.

Was müssen Unternehmen tun und gilt das GDPR auch in der Schweiz?

Die Unternehmen müssen die von dem Gesetz verlangten und vorgeschriebenen Massnahmen umsetzen. Grundsätzlich gilt GDPR in der Schweiz nur für Unternehmen welche einen Sitz in einem EU Land haben und/oder Daten von EU Staatsbürgern halten und/oder be- und verarbeiten.
In der Schweiz ist momentan auch ein neues Datenschutgesetz in der Vernehmlassung welches das heute veraltete Datenschutz Gesetz in der Schweiz ersetzen und modernisieren soll.

Zur SwissCovid-App: Wer hat die Kontrolle über die gesammelten Daten.
Der Bund oder Apple und Google, welche Ihre Betriebssysteme dazu zur Verfügung stellen?

Eigentlich hat niemand Zugriff auf die Daten. Die Daten werden nur in der App gehalten. Nach Installation der App erzeugt jede App eine zufällig erzeugte ID und übermittelt diese an Smartphones welche sich innerhalb von 1,5 Metern Abstand (Proximity Tracing) befinden und speichert diese für 14 Tage. Es gibt nur zufällig generierte IDs welche ausgetauscht werden und keinen Rückschluss auf den Benutzer zulassen.

Ist der Datenschutz bei der App gewährleistet?

Ja, durch die zufällig generierten IDs ist nicht nachvollziehbar wem diese ID gehört. Der oberste Schweizer Datenschützer hat der Schweiz Covid App grünes Licht gegeben. Der Datenschutz ist insofern gegeben, indem die Installation der App auf freiwilliger Basis geschieht und der Benutzer den Richtlinien zustimmen muss. Somit werden die allgemeine Datenschutz Erklärung angenommen. Die gesammelten Daten warden auch nach
14 Tagen von der App gelöscht.
Falls jemand sich mit Covid-19 ansteckt, bekommt derjenige einen Code den er eingeben kann. Durch die Abfrage der App nach diesen Codes, wird entschieden ob einen ID zutrifft. Falls ja, wird ein Alarm ausgelöst welcher mit mitteilt, dass jemandem der Infiziert sich in meiner Nähe (weniger als 1,5 m) aufgehalten hat.

Gibt es durch die Veröffentlichung des Quellcodes mehr Sicherheit und
Transparenz?

Ja. Durch Veröffentlichung des Quellcodes gibt es sicherlich mehr Transparenz. Das heisst dass jeder Interessierte den Quellcode einsehen kann, und somit die Funktionalitäten und die Funktionsweise der App nachvollziehen kann. Was nicht im Quellcode der App ist sind die Vorgänge welche nicht direkt in der App ausgeführt werden. Z.B. erhält jeder der positiv auf Covid-19 getestet wurde einen Code den er in der App eingeben kann. Wie dieser Code generiert wird und wie diejenigen welche in Kontakt waren (min 15 Minuten lang) benachrichtigt werden ist mir nicht klar.

Lieber Herr Cencigh vielen Dank für das Gespräch.