Im Allgemeinen sollten die Geräte nicht mit der Position der betroffenen Person als Inhaber des Rechts auf Privatsphäre kollidieren. Somit müssen die Nutzer im Allgemeinen davor geschützt werden, unnötig ihrer Privatsphäre beraubt zu werden. So sollte ein Nutzer keine Maßnahmen ergreifen müssen, um das Tracking zu verhindern, da das Gerät dies standardmäßig vorsehen sollte. Wenn das Tool ohne direkte Identifizierung von Einzelpersonen funktionieren kann, sollten geeignete Maßnahmen getroffen werden, um eine Deanonymisierung zu verhindern. Außerdem sollten die erhobenen Informationen im Endgerät des Nutzers verbleiben und lediglich relevante Informationen sollten, sofern absolut notwendig, erhoben werden.[1]Im Allgemeinen sollten Daten nur verarbeitet werden, wenn dies unbedingt erforderlich ist.
Darüber hinaus sollte ein Entwickler nur die Art von Daten verwenden, die für den Zweck der Verarbeitung unbedingt erforderlich ist, und um zu vermeiden, dass ein Softwareentwickler-Kit (SDK) Dritter Daten für andere Zwecke sammelt. Standardmäßig müssen die Entwickler sicherstellen, dass das Gerät keine Daten ohne Benachrichtigung der betroffenen Person an Dritte sendet. So sollten beispielsweise in den Serverprotokollen keine Kennungen enthalten sein. Ebenso sollten Informationen über die Nähe zwischen den Nutzern der Anwendung erhältlich sein, ohne ihren Standort ausfindig zu machen. Für diese Art von Anwendung ist die Verwendung von Standortdaten (direkt oder durch Kombination von Daten) nicht erforderlich und sollte daher auch nicht erfolgen, sondern nur die Verwendung von Begegnungsdaten. Muss jedoch der konkrete Standort einer Person ermittelt werden, sollte man nicht durch die Kombination verschiedener Datensätze Zugang zu Begegnungsdaten erhalten. Daher sollte das Gerät so konzipiert sein, dass ein solches Szenario standardmäßig vermieden wird. Im Allgemeinen sollte das Gerät über die für seinen Zweck unbedingt erforderlichen Daten hinaus keine weiteren Daten erheben, ausgenommen auf fakultativer Basis und ausschließlich als Entscheidungshilfe im Hinblick auf die Information des Nutzers. Wenn beispielsweise einige Funktionen des Tools die Nutzererfahrung verbessern können, für die ordnungsgemäße Funktion des Tools jedoch nicht unbedingt erforderlich sind – z. B. Geolokalisierung zur Vereinfachung einer geografischen Suche – sollte der Teilnehmer wählen können, ob er die Geolokalisierung zur Vereinfachung der geografischen Suche verwenden möchte oder nicht. In diesen Fällen muss das stärker in die Privatsphäre eingreifende Tracking standardmäßig deaktiviert werden, sodass es die Aktivierung der Entscheidung des Nutzers überlassen bleibt.
| Kasten 7. Die Frage der Genauigkeit
Personenbezogene Daten müssen laut dem Grundsatz richtig sein. Im Falle von Standort- oder Begegnungsdaten kann eine übermäßige Genauigkeit jedoch die Privatsphäre der betroffenen Person oder Dritter gefährden. Daher sollte der Entwickler des Tools versuchen, die Präzision oder Genauigkeit in Bezug auf die Standortdaten auf das Mindestmaß zu reduzieren, das zur Gewährleistung erforderlich ist, dass es den Zweck erfüllt, für den es konzipiert wurde. Standortdaten können sehr genau (z. B. ein Gerät, das an einer bestimmten Straßenecke geortet wird) oder auch weniger genau sein (Postleitzahlen, Quadranten, eine Stadt oder sogar ein Land). Je präziser und genauer die Daten sind, desto aufschlussreicher sind sie in der Regel und desto größer ist das Risiko einer Re-Identifikation. Besonders wichtig ist es, bekannte, mit der Identität einer Person verbundene Orte wie z. B. die Wohnung oder den Arbeitsplatz dieser Person so weit wie möglich zu vermeiden. Grund hierfür ist, dass diese Daten oft zur Identifizierung der Person beitragen. Darüber hinaus sind einige Orte besonders sensibel, weil sie etwas über den Besitzer des Geräts verraten können, beispielsweise Krankenhäuser, Schulen, Nachtclubs, Abtreibungskliniken, Apotheken oder politische Organisationen und Veranstaltungen. Diese Orte erhöhen zwar nicht immer das Risiko einer Re-Identifikation, bergen aber ein größeres Risiko des Missbrauchs oder einer unerwarteten Verwendung. Daher sollte die Genauigkeit bei der Verwendung von Daten, die sich auf diese Orte beziehen, im Idealfall so weit wie möglich vermeiden werden. |
| Checkliste[2]:
Mit dem Tool dürfen über die für seine Zwecke unbedingt erforderlichen Daten hinaus keine weiteren Daten erhoben werden, ausgenommen auf fakultativer Basis und ausschließlich als Entscheidungshilfe im Hinblick auf die Information des Nutzers. Wenn das Tool zur Kontaktnachverfolgung gedacht ist, ermöglicht es keine Nachverfolgung der Nutzerbewegungen durch andere Nutzer. Im Allgemeinen werden keine Daten vom Gerät des Nutzers abgerufen, wenn dies nicht unbedingt erforderlich ist. Die Gestaltung der Geräte oder des Tools berücksichtigt die Grundsätze des Datenschutzes durch Technikgestaltung und zielt darauf ab, nicht mehr Daten als erforderlich zu erheben. Wenn die Gestaltung des Geräts oder Tools mehrere Optionen für die Erhebung und weitere Verarbeitung von Daten zulässt, wird standardmäßig die Option mit dem größten Schutz eingestellt. |
Quellenangaben
1EDSA, Leitlinien 04/2020 für die Verwendung von Standortdaten und Tools zur Kontaktnachverfolgung im Zusammenhang mit dem Ausbruch von COVID-19. Angenommen am 21. April 2020, Seite 7. Unter: https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_20200420_contact_tracing_covid_with_annex_en.pdf ↑
2Diese Checkliste wurde auf der Grundlage der Checkliste der EDSA erstellt, Leitlinien 04/2020 für die Verwendung von Standortdaten und Tools zur Kontaktnachverfolgung im Zusammenhang mit dem Ausbruch von COVID-19. Angenommen am 21. April 2020, unter: https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_20200420_contact_tracing_covid_with_annex_en.pdf ↑