© 2020 Deutscher Bundestag WD 3 - 3000 - 098/20 Einzelfragen zum Handy-Tracking in Deutschland im Zusammenhang mit der Corona-Pandemie Ausarbeitung Wissenschaftliche Dienste Die Wissenschaftlichen Dienste des Deutschen Bundestages unterstützen die Mitglieder des Deutschen Bundestages bei ihrer mandatsbezogenen Tätigkeit. Ihre Arbeiten geben nicht die Auffassung des Deutschen Bundestages, eines seiner Organe oder der Bundestagsverwaltung wieder. Vielmehr liegen sie in der fachlichen Verantwortung der Verfasserinnen und Verfasser sowie der Fachbereichsleitung. Arbeiten der Wissenschaftlichen Dienste geben nur den zum Zeitpunkt der Erstellung des Textes aktuellen Stand wieder und stellen eine individuelle Auftragsarbeit für einen Abgeordneten des Bundestages dar. Die Arbeiten können der Geheimschutzordnung des Bundestages unterliegende, geschützte oder andere nicht zur Veröffentlichung geeignete Informationen enthalten. Eine beabsichtigte Weitergabe oder Veröffentlichung ist vorab dem jeweiligen Fachbereich anzuzeigen und nur mit Angabe der Quelle zulässig. Der Fachbereich berät über die dabei zu berücksichtigenden Fragen. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 2 Einzelfragen zum Handy-Tracking in Deutschland im Zusammenhang mit der Corona-Pandemie Aktenzeichen: WD 3 - 3000 - 098/20 Abschluss der Arbeit: 22. April 2020 Fachbereich: WD 3: Verfassung und Verwaltung Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 3 Inhaltsverzeichnis 1. Fragestellung 4 2. Funktionsweise einer Handy-Tracking-App 4 3. Freiwilliges oder verpflichtendes Handy-Tracking nach PEPP-PT 6 4. Anforderungen an eine Einwilligung 7 5. Grundrechtsrelevanz der Maßnahmen 9 5.1. Fernmeldegeheimnis – Art. 10 Abs. 1 GG 9 5.2. Recht auf informationelle Selbstbestimmung – Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG 10 5.2.1. Freiwilliges Handy-Tracking 10 5.2.2. Verpflichtendes Handy-Tracking 11 5.2.2.1. Schutzbereich und Eingriff 11 5.2.2.2. Verhältnismäßigkeit – Legitimer Zweck 12 5.2.2.3. Verhältnismäßigkeit – Geeignetheit 13 5.2.2.4. Verhältnismäßigkeit – Erforderlichkeit 14 5.2.2.5. Verhältnismäßigkeit – Angemessenheit 14 5.3. Weitere Grundrechte 16 6. (Verfassungs-) rechtliche Voraussetzungen einer behördlichen Anordnung des Trackings 16 6.1. Rechtsgrundlage 16 6.2. Datenschutzrechtliche Erwägungen 17 Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 4 1. Fragestellung In der Ausarbeitung werden mehrere rechtliche Fragestellungen zum Handy-Tracking behandelt. Das Handy-Tracking soll der schnellen Information über relevante Kontakte mit einer mit dem Corona-Virus infizierten Person dienen. Im Folgenden werden sowohl die Möglichkeiten einer freiwilligen, als auch einer verpflichtenden Nutzung einer solchen Anwendung geprüft. Behandelt werden die Vereinbarkeit solcher Maßnahmen mit den Grundrechten, als auch mögliche weitere (verfassungs-)rechtliche Anforderungen. 2. Funktionsweise einer Handy-Tracking-App Der Ausarbeitung zugrunde liegen im Wesentlichen die öffentlich zugänglichen Angaben zu einer Handy-App, die im Rahmen des Projekts „Pan-European Privacy-Preserving Proximity Tracing“ (PEPP-PT) entwickelt wird. Teil der Initiative sind unter anderem das Heinrich-Hertz-Institut des Fraunhofer-Instituts, das Robert Koch-Institut und Vodafone.1 Die Funktionsweise der App ist wie folgt zu skizzieren. Hinzuweisen ist jedoch vorab darauf, dass bislang nicht alle Funktionsdetails veröffentlicht sind.2 Auf den Handys, die die App nutzen, wird in regelmäßigen zeitlichen Abständen eine individuelle ID erzeugt und gespeichert. Diese besteht aus einer Zahlen-Buchstaben-Kombination und soll eindeutig sein, aber keine Rückschlüsse auf die Person des Handyinhabers zulassen. Die ID wird mittels „Bluetooth Low Energy“ regelmäßig ausgesandt. Hält sich eine Person mit einem Abstand von weniger als (wahrscheinlich) zwei Metern zu einer anderen Person auf und geschieht dies für einen gewissen Zeitraum (wahrscheinlich 15 Minuten), werden die IDs der jeweiligen Nutzer untereinander ausgetauscht und lokal auf dem jeweiligen Handy verschlüsselt gespeichert.3 Wenn anschließend eine der beiden Personen positiv auf das Coronavirus getestet werden sollte, kann sie dies mit Hilfe einer Tan-Nummer in der App angeben. Das Konzept sieht dann – anders als in den Anwendungen anderer Länder – vor, dass die Liste mit den IDs der Kontakte einer positiv getesteten Person auf einen gesicherten Server des Robert Koch-Instituts hochgeladen wird. Das Institut warnt dann seinerseits die Kontaktpersonen. Auch auf dem Server sollen die Daten jedoch anonymisiert bleiben.4 In keinem Fall werden persönliche Daten oder der Aufenthalts- und 1 Eine Selbstbeschreibung findet sich unter https://www.pepp-pt.org (zuletzt aufgerufen am 20.4.2020). 2 Die Grundlagen sind auch in einem von PEPP-PT verfassten Manifest veröffentlich, Context and Mission, abrufbar unter https://404a7c52-a26b-421d-a6c6-96c63f2a159a.filesusr .com/ugd/159fc3_878909ad0691448695346b128c6c9302.pdf (zuletzt aufgerufen am 15.4.2020). 3 Neueste Berichte, die auf eine zentrale Speicherung der Kontakt-IDs deuten, werden mangels Bestätigung in dieser Arbeit nicht zugrunde gelegt. Vgl. dazu: Brause/Fuest, „Corona-App droht zu scheitern“, Die Welt vom 21.4.2020, S. 4. 4 Benrath/Mihm/Neuscheler, „Wenn das Handy zum Corona-Schutz wird“, FAZ vom 3.4.2020, S. 22. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 5 Begegnungsort gespeichert oder irgendwie bekannt gegeben. Die Nutzer würden mit der Benachrichtigung gebeten werden, sich testen zu lassen und bis zu einem Testergebnis in häusliche Isolation zu begeben.5 Ziel der App soll es sein, durch eine schnelle und einfache Rückverfolgbarkeit von Kontakten die Ausbreitung von Infektionen zu verhindern bzw. deutlich zu vermindern, was wiederum dem Gesundheits- und Lebensschutz der ganzen Bevölkerung dienen soll. Die Abstandsmessung soll über Sensoren des Handys mittels Bluetooth erfolgen. Bluetooth hat nur eine geringe Reichweite. Kritisiert wird aber, dass diese geringe Reichweite je nach äußeren Umständen deutlich variieren kann. Teilweise kann sie unter einem Meter liegen, im günstigsten Fall aber auch bis zu 100 Metern weit reichen. Insbesondere kann ein Signal mitunter auch durch Wände oder Glasscheiben hindurch gehen. Es besteht also einerseits die Möglichkeit, dass ansteckungsrelevante Kontakte nicht erfasst werden. Andererseits ist nicht auszuschließen, dass aufgrund von größerer Entfernung oder Barrieren sichere Abstände fälschlicherweise als relevanten Kontakt gespeichert werden.6 Andere Angaben lassen aber darauf schließen, dass zumindest neuere Bluetooth-Technologie ab dem Standard Bluetooth 5.1 eine präzise, zentimetergenaue Abschätzung der Entfernung zulässt.7 Darüber hinaus wird kritisiert, dass absichtliche oder zufällige Falschmeldungen nicht ausgeschlossen werden können. Die Entwickler bauen insoweit darauf, dass die Nutzer mit der App verantwortungsvoll umgehen.8 Mittlerweile haben auch die US-Firmen Google und Apple bekannt gegeben, dass sie eine Anwendung zum Handy-Tracking mit dem Ziel der Eindämmung der Corona-Pandemie entwickeln. Von Google ist das Betriebssystem Android, das Ende 2019 bei 83 Prozent aller neu abgesetzten Smartphones verwendet wurde.9 Das von Apple angebotene Betriebssystem iOS deckt nahezu den kompletten restlichen Markt ab.10 Bei beiden soll die Technik vergleichbar der geschilderten Anwendung funktionieren und ebenso auf die Bluetooth-Technologie zurückgreifen. Im Unterschied zu anderen App-Varianten soll die Technik jedoch mit einem Update des Betriebssystems 5 Vgl. zur Funktionsweise: Budras/Freidel, „Technik gegen die Seuche“, FAS vom 5.4.2020, S. 3. 6 Budras/Freidel, „Technik gegen die Seuche“, FAS vom 5.4.2020, S. 3. 7 Dirscherl, „Bluetooth 5.1: Richtung und Position zentimetergenau bestimmen“, PC Welt, 1.2.2019, abrufbar unter https://www.pcwelt.de/a/bluetooth-5-1-richtung-und-position-zentimetergenau-bestimmen,3463867 (zuletzt aufgerufen am 17.4.2020); Zühlke, „Positionsbestimmung, Einfach Bluetooth 5.1 nutzen!“, Markt & Technik vom 12.6.2019, abrufbar unter https://www.elektroniknet.de/markt-technik/industrie-40-iot/einfach-bluetooth-5-1- nutzen-166247.html (zuletzt aufgerufen am 17.4.2020). 8 Vgl. dazu auch bzgl. der in Österreich verwendeten App: Benrath/Mihm/Neuscheler, „Wenn das Handy zum Corona-Schutz wird“, FAZ vom 3.4.2020, S. 22. 9 Statista, Marktanteil von Android* am Absatz von Smartphones weltweit vom 1. Quartal 2009 bis zum 4. Quartal 2019, abrufbar unter https://de.statista.com/statistik/daten/studie/246456/umfrage/marktanteil-von-googlesandroid -am-weltweiten-smartphone-absatz-nach-quartalen/ (zuletzt abgerufen am 15.4.2020). 10 Statista, Marktanteile der Betriebssysteme am Absatz vom Smartphones weltweit in den Jahren 2017 bis 2019 und Prognose bis 2023, abrufbar unter https://de.statista.com/statistik/daten/studie/182363/umfrage/prognostizierte -marktanteile-bei-smartphone-betriebssystemen/ (zuletzt abgerufen am 15.4.2020). Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 6 automatisch auf den Smartphones installiert werden. Zur Aktivierung müssten die Nutzer dann noch aktiv zustimmen. Durch den Wegfall der aktiven Installation der App soll der Nutzungsgrad erhöht werden.11 3. Freiwilliges oder verpflichtendes Handy-Tracking nach PEPP-PT Die in Deutschland am meisten diskutierte Variante des Handy-Trackings basiert auf einer freiwilligen Anwendung. Da jedoch wiederholt die Möglichkeit einer verpflichtenden Anwendung in den Medien diskutiert wurde, wird auch diese entsprechend untersucht. Nach den Plänen der Entwickler der PEPP-PT-Anwendung soll die App-Nutzung freiwillig sein, ebenso wie die Bekanntgabe eines positiven Testergebnisses und das Hochladen der Kontaktdaten auf den Server. Auch die von Apple und Google angestrebte Tracking-Technik mittels Betriebssoftware -Update und anschließender Aktivierung durch Zustimmung kann dann noch als freiwillige Teilnahme gewertet werden, wenn die Zustimmung erst nach entsprechender Information erfolgen kann und diese auch optisch so gestaltet ist, dass dem Nutzer die Unterschiede zu anderen Zustimmungsabfragen im Rahmen eines Updates bewusst werden. Es dürfen auch keinerlei Nachteile an eine eventuelle Ablehnung der Aktivierung durch die Unternehmen geknüpft werden. Die Argumentation, dass die Freiwilligkeit der App-Nutzung erzwungen sei, weil der soziale Druck zu deren Nutzung hoch sei,12 ist nicht überzeugend. In Deutschland nutzten 2018 81 Prozent der über 14-Jährigen ein Smartphone. Bei den über 65-Jährigen nutzte jeder Vierte ein Smartphone.13 Insofern steht für alle Beteiligten von Vornherein fest, dass nicht die ganze Bevölkerung diese App nutzen kann und wird. Weitere diskutierte Wege für Nicht-Smartphonenutzer, einen Schlüsselanhänger mit einer vergleichbaren Funktion anzubieten,14 sind derzeit wohl noch nicht weiter entwickelt, ebenso wie staatliche Kaufanreize zu neuen Smartphones.15 Zudem wird auch kommuniziert , dass der Nutzungsgrad von 60 Prozent der Bevölkerung angestrebt wird.16 Laut ersten 11 Fuest, „Corona-Apps könnten an Nutzermangel scheitern“, Die Welt vom 15.4.2020. 12 Brink/Henning, „Warum freiwilliges Handy-Tracking nicht funktioniert“, vom 3.4.2020, abrufbar unter https://netzpolitik.org/2020/warum-freiwilliges-handy-tracking- nicht-funktioniert/ (zuletzt aufgerufen am 8.4.2020). 13 Statista, Anteil der Smartphone-Nutzer in Deutschland bis 2018, veröffentlicht von F. Tenzer, 5.11.2019, Erhebung durch Bitkom Research, abrufbar unter https://de.statista.com/statistik/daten/studie/585883/umfrage/anteil-dersmartphone -nutzer-in-deutschland/ (zuletzt aufgerufen am 8.4.2020). 14 So wird es derzeit in Österreich diskutiert. Vgl. Münch/Muth, Debatte um Pflicht zu Corona-App-Nutzung, SZ am 6.4.2020, abrufbar unter https://www.sueddeutsche.de/politik/corona-app-pepp-pt-tracing-oesterreich-deutschland -1.4868497 (zuletzt abgerufen am 8.4.2020). 15 So vorgeschlagen durch Böttinger/Ockenfels/Wambach, „Digitale Wege aus der Corona-Krise“, FAZ vom 15.4.2020, S. 18. 16 Vgl. u.a. Benrath/Mihm/Neuscheler, „Wenn das Handy zum Corona-Schutz wird“, FAZ vom 3.4.2020, S. 22. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 7 Umfragen würden 50 bis 70 Prozent der Deutschen eine solche Tracking-App nutzen.17 Mithin wird auch von Beginn an kein erheblicher Druck ausgeübt, dass alle Smartphoneinhaber die App auch nutzen müssten. Für die Freiwilligkeit spricht zudem, dass die bislang üblichen Wege der Identifikation von Kontaktpersonen auf Basis von Angaben des Infizierten weiterhin verfolgt werden müssen. Nur so können weiterhin alle Kontakte, insbesondere mit Gruppen die häufig nicht über ein Smartphone verfügen, ermittelt werden, zum Beispiel mit Älteren oder Kindern. Daher wurde dies auch in die Empfehlungen der EU-Mitgliedstaaten und der EU-Kommission zur Einführung von entsprechenden Tracking-Apps aufgenommen.18 Wenn weiterhin andere Wege der Information über den Kontakt mit einer infizierten Person bestehen, spricht dies gegen einen erhöhten Druck, der zur Unfreiwilligkeit der App-Nutzung bewirken könnte. Fraglich ist, inwieweit die Installation einer solchen App als freiwillig angesehen werden kann, wenn mit einem weiten Verbreitungsgrad verbunden wird, dass dann auch die mit dem Kontaktverbot verbundenen Einschränkungen zahlreicher Grundrechte19 gelockert werden könnten. Dies wird von einigen Stimmen in der Literatur für unzulässig gehalten.20 Jedoch gibt es diesbezüglich bislang keine konkreten Pläne. Vielmehr wurden bereits am 15. April 2020 erste Lockerungen der Maßnahmen angekündigt und durch die Länder auch umgesetzt. Zudem müssten solche Lockerungsversprechen im Wesentlichen durch die Landesregierungen erfolgen, da zu großen Teilen nur diese die Kompetenz haben, die aus Gründen des Infektionsschutzes auf der Grundlage der §§ 28 und 32 Infektionsschutzgesetz (IfSG) erlassenen Maßnahmen wieder aufzuheben. Insofern ist die Durchsetzbarkeit eines im gesamten Bundesgebiet einheitlichen Vorgehens fraglich. 4. Anforderungen an eine Einwilligung Es bestehen mehrere Anforderungen an eine Einwilligung in die Verarbeitung personenbezogener Daten. Diese würden – unterstellt, dass die Datenverarbeitung durch eine Tracking-App dem Datenschutzregime unterfällt – aus den Vorgaben der Datenschutz-Grundverordnung (DSGVO) folgen. Art. 4 Nr. 11 DSGVO definiert die Einwilligung wie folgt: „Im Sinne dieser Verordnung bezeichnet der Ausdruck (…) „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständ- 17 Banse, „Wie Handy-Tracking funktioniert“, Deutschlandfunk vom 1.4.2020, abrufbar unter https://www.deutschlandfunk.de/kampf-gegen-coronavirus-ausbreitung-wie-handy-tracking .2897.de.html?dram:article_id=473614 (zuletzt aufgerufen am 9.4.2020). 18 „Coronakrise: Ein EU-Konzept für wirksame Kontaktnachverfolgungs-Apps zur Unterstützung der schrittweisen Aufhebung der Ausgangsbeschränkungen“, Pressemitteilung vom 16.4.2020, abrufbar unter https://ec.europa .eu/commission/presscorner/detail/de/ip_20_670 (zuletzt aufgerufen am 17.4.2020). 19 Vgl. dazu ausführlich: Wissenschaftliche Dienste des Deutschen Bundestages, Kontaktbeschränkungen zwecks Infektionsschutz: Grundrechte, WD 3 - 3000 - 079/20 vom 8.4.2020. 20 Kugelmann, „Freiwillig oder mit Zwang?“, FAZ vom 9.4.2020, S. 7. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 8 lich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.21 Art. 7 DSGVO erklärt darüber hinaus die Bedingungen für die Einwilligung. „(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. (2) Erfolgt die Einwilligung der betroffenen Person durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, dass es von den anderen Sachverhalten klar zu unterscheiden ist. Teile der Erklärung sind dann nicht verbindlich, wenn sie einen Verstoß gegen diese Verordnung darstellen. (3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person wird vor Abgabe der Einwilligung hiervon in Kenntnis gesetzt. Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein. (4) Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind.“22 Zu diesen klaren Vorgaben ist zu ergänzen, dass eine Einwilligung nicht schriftlich erfolgen muss, sondern zum Beispiel auch durch das „Anklicken“ eines Feldes im Internet erfolgen kann. Dabei ist ein aktives Verhalten der betroffenen Person erforderlich.23 Ein nicht erfolgter Widerspruch würde insofern nicht genügen. Betreffs der Verarbeitung von Gesundheitsdaten ist zudem aus Art. 9 Abs. 2 lit. a DSGVO zu entnehmen, dass es sich um eine ausdrückliche Einwilligung handeln muss, ein konkludentes Handeln also nicht ausreichen würde. Die Freiwilligkeit der Einwilligung setzt voraus, dass die Person eine echte und freie Wahl hat, ob sie die Zustimmung erteilen will. Sie muss in der Lage sein, die Einwilligung zu verweigern oder zurückzuziehen, ohne dadurch Nachteile zu erleiden.24 Dazu muss die Person auch entsprechend 21 Hervorhebungen nur hier. 22 Hervorhebungen nur hier. 23 Vgl. Erwägungsgrund 32 zur DSGVO. Vgl. auch Mitteilung der Kommission, Leitlinien zum Datenschutz bei Mobil-Apps zur Unterstützung der Bekämpfung der COVID-19-Pandemie, 16.4.2020, C(2020) 2523 final, S. 7. 24 Vgl. Erwägungsgrund 42 zur DSGVO. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 9 zuvor informiert sein. Die Einwilligungserklärung muss dazu in einer verständlichen und leicht zugänglichen Form, mit einer klaren und einfachen Sprache vorliegen. Aus der Erklärung muss außerdem hervorgehen, wer der Verantwortliche ist und zu welchen Zwecken die personenbezogenen Daten verarbeitet werden.25 Zudem sollen Informationen über die Art der verarbeiteten Daten gegeben werden und auf das Recht, die Einwilligung jederzeit zu widerrufen, hingewiesen werden. Gegebenenfalls soll auch über die Verwendung der Daten für eine automatisierte Entscheidungsfindung hingewiesen werden, ebenso wie auf die möglichen Risiken, die sich aus Datenübermittlungen in Drittländer ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien nach Art. 46 DS-GVO ergeben könnten.26 Ein Widerruf der Einwilligung sowie die Deinstallation der App müssen für den Nutzer ohne negative Folgen sein.27 Die Ausgestaltung der Einwilligung in das Handy-Tracking müsste sich an diesen Vorgaben ausrichten . Das in Art. 7 Abs. 4 DSGVO geregelte Kopplungsverbot, nach dem die Beurteilung der Freiwilligkeit der Einwilligung auch davon abhängt, ob ein Vertragsschluss von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind, ist vorliegend nicht einschlägig. Beim Handy-Tracking handelt es sich nicht um eine privatrechtliche Austauschbeziehung. Auch sind seitens des Staates keine unmittelbaren Leistungsversprechen an die Zustimmung geknüpft.28 Eine politische Verknüpfung der Lockerung von anderen Einschränkungen, die dem Infektionsschutz dienen, bei einer weitreichenden Nutzung des Trackings durch die Bevölkerung ist von der Regelung nicht erfasst. Es würde sich also nicht um eine konkrete Leistungszusage für einen konkreten Nutzer handeln. 5. Grundrechtsrelevanz der Maßnahmen 5.1. Fernmeldegeheimnis – Art. 10 Abs. 1 GG Der Schutzbereich des Fernmeldegeheimnisses nach Art. 10 Abs. 1 GG ist nicht eröffnet. Das Fernmeldegeheimnis – oder auch Telekommunikationsgeheimnis genannt – schützt die unkörperliche Übermittlung von Informationen an individuelle Empfänger mit der Hilfe des Telekommunikationsverkehrs .29 Geschützt sind dabei sowohl der Kommunikationsinhalt als auch die Kommunikationsumstände .30 Kommunikation kann insofern aber nur als konkret menschlich veranlasster Informationsaustausch oder veranlasste Informationsaussendung verstanden werden, also als 25 Vgl. Erwägungsgrund 42 zur DSGVO. 26 Datenschutzkonferenz, Kurzpapier Nr. 20, Einwilligung nach der DS-GVO, abrufbar unter https://www.tlfdi.de/mam/tlfdi/themen/kurzpapier_20.pdf (zuletzt aufgerufen am 20.4.2020). 27 Mitteilung der Kommission, Leitlinien zum Datenschutz bei Mobil-Apps zur Unterstützung der Bekämpfung der COVID-19-Pandemie, 16.4.2020, C(2020) 2523 final, S. 8. 28 Ausführlicher Klement, in: Simitis/Hornung/Spiecker (Hrsg.), Datenschutzrecht, Art. 7 DSGVO, Rn. 50 ff. 29 BVerfG, Urteil vom 16.6.2009 – 2 BvR 902/06, BVerfGE 124, 43, 54; BVerfG, Urteil vom 2.3.2006 – 2 BvR 2099/04, BVerfGE 115, 166, 182. 30 BVerfG, Urteil vom 16.6.2009 – 2 BvR 902/06, BVerfGE 124, 43, 54; Ogorek, in: Epping/Hillgruber (Hrsg.), BeckOK Grundgesetz, 42. Edition, Stand: 1.12.2019, Art. 10, Rn. 35-38. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 10 ein Vorgang, bei dem ein Mensch willentlich mit einer konkretisierten anderen Stelle in den Kontakt tritt. Dies wird zum einen auch an dem Tatbestandsmerkmal des „individuellen Empfängers“ deutlich. Zum anderen knüpft auch die Rechtsprechung zum Fernmeldegeheimnis bislang stets an eine zielgerichtete Informationsübermittlung an, etwa das Versenden einer E-Mail,31 die Kommunikation über Telefone oder das Aufrufen von Internetseiten.32 Die automatisierte Sendung von Daten eines Handys zu einem anderen ohne weitere menschliche Beteiligung kann daher nicht unter den Schutzbereich subsumiert werden. Die Installation der entsprechenden App reicht insofern als Anknüpfungspunkt nicht aus. 5.2. Recht auf informationelle Selbstbestimmung – Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG Das Recht auf informationelle Selbstbestimmung umfasst das Recht des Einzelnen, grundsätzlich selbst zu entscheiden, wann und gegenüber wem er zu welchem Zweck Lebenssachverhalte im Allgemeinen und personenbezogene Daten im Besonderen offenbart.33 Da die Erfassung von Kontakten auch zu diesen Lebenssachverhalten gehören kann, deren Kundgabe zu den Rechten des Einzelnen gehört, kann man annehmen, dass der Schutzbereich des Grundrechts eröffnet ist. 5.2.1. Freiwilliges Handy-Tracking Fraglich ist, ob ein Eingriff in diesen Schutzbereich vorliegt. Im Sinne des klassischen Eingriffsbegriffs liegt ein Eingriff vor, wenn er final, unmittelbar, durch Rechtsakt sowie mit Befehl und Zwang gegenüber dem Einzelnen angeordnet bzw. durchgesetzt wird.34 Durch den neuen Eingriffsbegriff wurde diese Definition erweitert. Nunmehr ist als Eingriff jedes staatliche Handeln umfasst, das ein grundrechtlich geschütztes Verhalten erschwert oder unmöglich macht bzw. ein grundrechtlich geschütztes Rechtsgut beeinträchtigt. Umfasst sind auch mittelbare und faktische Eingriffe .35 Durch die Freiwilligkeit der Verwendung der App kann aber jede Person frei entscheiden, ob sie eine für sie individuell und regelmäßig wechselnde ID mit anderen Personen teilen will oder nicht. Ebenso ist das spätere Teilen der Information über einen positiven Coronatest freiwillig. Insofern kann weder final, imperativ noch mittelbar oder faktisch ein Eingriff erkannt werden. Zudem könnte in der Speicherung von Daten, die die Erstellung eines umfassenden Bewegungsprofils ermöglicht, ein Grundrechtseingriff liegen.36 Da durch die geplante Handy-App aber weder der Ort noch die genaue Länge einer Begegnung gespeichert werden, sondern nur eine Aussage 31 BVerfG, Urteil vom 16.6.2009 – 2 BvR 902/06, BVerfGE 124, 43, 54. 32 BVerfG, Urteil vom 2.3.2010 – 1 BvR 256/08 BVerfGE 125, 260. 33 BVerfG, Urteil vom 4.4.2006 – 1 BvR 518/02, BVerfGE 115, 320, 341; Dreier, in: ders. (Hrsg.), Grundgesetz-Kommentar , 3. Auflage 2013, Art. 2 Abs. 1, Rn. 79. 34 Ipsen, Staatsrecht II, 21. Auflage 2018, Rn. 143; Voßkuhle/Kaiser, JuS 2009, 313. 35 Voßkuhle/Kaiser, JuS 2009, 313. 36 Vgl. BVerfG, Urteil vom 2.3.2010 – 1 BvR 256/08 BVerfGE 125, 260, Rn. 211 f.; vgl. auch Appell der Europäischen Akademie für Informationsfreiheit und Datenschutz: Corona – Pandemie bekämpfen, Bürgerrechte und Datenschutz wahren!, vom 26.3.2020, abrufbar unter https://www.eaid-berlin.de/appell-der-europaeischen- akademie -fuer-informationsfreiheit-und-datenschutz-corona-pandemie-bekaempfen-buergerrechte-und- datenschutzwahren / (zuletzt aufgerufen am 8.4.2020). Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 11 darüber gespeichert werden soll, ob sich eine Person länger als eine zuvor definierte Zeit in einem gewissen Abstand zu einer anderen Person befunden hat, ist das Erstellen eines solchen Bewegungsprofils nicht möglich. Inwieweit doch irgendwelche Möglichkeiten bestehen könnten, entgegen den Angaben der Entwickler eine ID durch Dritte einer konkreten Person zuzuordnen, kann nicht beurteilt und somit auch nicht in die Prüfung einbezogen werden. 5.2.2. Verpflichtendes Handy-Tracking 5.2.2.1. Schutzbereich und Eingriff Eine verpflichtende Nutzung des Handy-Trackings könnte hingegen einen Eingriff in das Recht auf informationelle Selbstbestimmung darstellen. Personenbezogene Daten werden durch die App nach bisherigem Erkenntnisstand jedoch nicht weitergegeben. Nach Art. 4 Abs. 1 Nr. 1 DSGVO sind „personenbezogene Daten“: „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen , genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann“. Die Identifizierbarkeit der Person anhand dieser Daten genügt also. Eine in regelmäßigen Zeitabständen wechselnden ID auf einem Handy stellt jedoch kein personenbezogenes Datum dar, solange es nicht möglich ist, diese mit Zusatzinformationen zu verknüpfen, über die der Anbieter verfügt. Solange die Identifizierung der betreffenden Person gesetzlich verboten oder praktisch nicht durchführbar ist, weil sie zum Beispiel mit einem unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskräften verbunden ist, ist davon auszugehen, dass keine personenbezogenen Daten vorliegen.37 Nach den bisher bekannten Parametern für das Handy-Tracking nach PEPP-PT wird angenommen, dass keine personenbezogenen Daten verwendet werden. Es sollen bei der App-Nutzung keine persönlichen Daten eingegeben oder gespeichert werden. Möglichkeiten der Verknüpfung mit weiteren bekannten Daten sind zunächst nicht ersichtlich,38 solange die App 37 EuGH, Urteil vom 19.10.2016 - C-582/14, redaktionelle Leitsätze 1 und 3 nach MIR, abrufbar unter https://medieninternet -und-recht.de/volltext.php?mir_dok_id=2791 (zuletzt aufgerufen am 9.4.2020); Erwägungsgrund 26 zur DSGVO. 38 Mitteilung der Kommission, Leitlinien zum Datenschutz bei Mobil-Apps zur Unterstützung der Bekämpfung der COVID-19-Pandemie, 16.4.2020, C(2020) 2523 final, S. 11. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 12 autark arbeitet und ihrerseits ebenfalls auf keine weiteren anderen Hilfsdienste zurückgreift,39 wie es die Entwickler vorsehen.40 Da durch einen Rechtsakt angeordnet werden würde, dass zumindest der Lebenssachverhalt der Anwesenheit in der Nähe anderer Personen für einen bestimmten Zeitraum unter bestimmten Umständen offenbart wird, könnte unter bestimmten Umständen von einem Eingriff ausgegangen werden. Eine Pflicht zur Nutzung der Tracking-App bedeutet jedoch nicht, dass auch eine Pflicht besteht, eine Corona-Infektion tatsächlich zu melden. Da nach den bekannten Konzepten die Daten auch nicht durch Dritte, zum Beispiel das Robert Koch-Institut oder die Gesundheitsämter, verknüpft werden könnten, wäre nur von einer geringen Eingriffstiefe auszugehen. Für die Eingriffstiefe ist relevant, dass der Gesetzgeber die Verpflichtung zeitlich begrenzt und auch die tatsächliche Funktion des Handy-Trackings wirksam beenden kann.41 5.2.2.2. Verhältnismäßigkeit – Legitimer Zweck Aufgrund der Annahme eines Grundrechtseingriffs ist zu untersuchen, ob dieser durch die Verpflichtung zum Handy-Tracking verhältnismäßig ist. Für die Annahme der Verhältnismäßigkeit eines Eingriffs bedarf es eines legitimen Zwecks, der mit der Maßnahme erreicht werden soll, wobei diese geeignet, erforderlich und angemessen sein muss, um diesen Zweck zu erreichen. Das Recht auf informationelle Selbstbestimmung darf zum Schutz überwiegender Allgemeininteressen beschränkt werden.42 Mit der Verwendung und weiten Verbreitung der Nutzung der App zum Handy-Tracking wird das Ziel des Infektionsschutzes und damit des Lebensschutzes verbunden . Durch die schnelle und unbürokratische Feststellung eines infektionsrelevanten Kontakts soll zum einen die Ausbreitung des Virus und damit zugleich eine Überlastung des Gesundheitssystems verhindert werden, die dazu führen könnte, dass nicht allen infizierten Personen adäquat geholfen werden könnte. Darüber hinaus könnte die Verwendung der App und die dadurch verbesserte Infektionskontrolle eine Lockerung der bisherigen Infektionsschutzmaßnahmen (zum Beispiel Kontaktsperren und Schließungen von Geschäften und Restaurants) begünstigen. Dies wiederum könnte die wirtschaftlichen Folgen der Epidemie abmildern. Bei beiden Zwecken handelt es sich um solche, die dem Schutz der Grundrechte der Bevölkerung dienen und somit um legitime Zwecke, die dem überwiegenden Allgemeininteresse dienen. 39 In Forenbeiträgen als problematisch diskutiert wird das eventuelle Zurückgreifen der Tracking-App auf einen Client zur Benachrichtigung mit einer Push-Nachricht bei einem positiv-getesteten Kontakt. Inwieweit hier die Notwendigkeit besteht, auf eine andere Software zurückzugreifen, kann jedoch technisch nicht beurteilt werden. 40 Buermeyer als Antwort in den Kommentaren zu https://netzpolitik.org/2020/corona-tracking-datenschutz-keinnotwendiger -widerspruch/ (zuletzt aufgerufen am 9.4.2020). 41 Vgl. Schwartmann, „Freiwillig oder mit Zwang?“, FAZ vom 9.4.2020, S. 7. Vgl. auch Mitteilung der Kommission, Leitlinien zum Datenschutz bei Mobil-Apps zur Unterstützung der Bekämpfung der COVID-19-Pandemie, 16.4.2020, C(2020) 2523 final, S. 7. 42 BVerfGE 65, 1, 44; BVerfGE 92, 191, 197. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 13 5.2.2.3. Verhältnismäßigkeit – Geeignetheit Die unmittelbare Information über einen Kontakt mit einer positiv getesteten Person kann dazu führen, dass auch die Kontaktperson sich einerseits schnell isoliert und so, falls sie infiziert ist, das Virus nicht mehr selbst weiterverbreitet. Zudem könnte gegenüber dieser Person umgehend nach einem ebenfalls positiven Coronatest eine Quarantäneanordnung erlassen werden. Insofern kann von einer grundsätzlichen Eignung des Handy-Trackings zum Infektionsschutz ausgegangen werden. Insbesondere die mögliche Ungenauigkeiten der Bluetooth-Technologie und die damit bestehende Gefahr von Falschwarnungen bzw. unterbliebenen Warnungen bei gleichzeitigem Vertrauen auf die Funktion der App, könnten die Geeignetheit in Frage stellen. Ebenso die Problematik der durch die Freiwilligkeit der App-Nutzung nicht vollständigen Erfassung aller möglichen Infektionsherde .43 Jedoch führen diese Maßnahmen nur zu einer möglichen Einschränkung der Bewegungsfreiheit durch eine erhöhte Quote nicht notwendiger Selbstisolation. Der Lebensschutz und die grundrechtsrelevanten Aspekte der Lockerung der derzeitigen Infektionsschutzmaßnahmen werden dadurch gerade nicht beeinträchtigt. Zudem ist zu beachten, dass die Erreichung des Ziels mit dem Handy-Tracking massiv damit zusammenhängt , dass genügend Testmöglichkeiten bestehen, nachdem ein Nutzer die Nachricht über einen Kontakt mit einer infizierten Person erhalten hat. Zum einen kann nur dann er selbst die Information seiner Kontakte veranlassen, zum andern muss davon ausgegangen werden, dass im Laufe der Zeit die Zahl der Infizierten und damit auch der Kontakte steigt. Insofern könnten sich solche Benachrichtigungen bei einzelnen Personen häufen.44 Um deren Bereitschaft zur wiederholten freiwilligen vorläufigen Selbstisolation nicht zu gefährden, bedarf es schneller und zahlreicher Testkapazitäten.45 Teilweise wird argumentiert, die Geeignetheit der Nutzung hänge von der Verbreitung bzw. der Gesamtzahl der Nutzer des Handy-Trackings ab.46 Dem kann jedoch nicht zugestimmt werden. Es ist zwar davon auszugehen, dass sich die Effektivität der Maßnahme erhöht, je höher der Grad der Verbreitung ist, zum Beispiel bei 60 Prozent der Bevölkerung. Jedoch kann auch bei geringeren Teilnehmerzahlen davon ausgegangen werden, dass die Corona-App eine gewisse Anzahl an Neuinfektionen verhindern würde. Insofern ist auch einzubeziehen, dass die Nutzung des Handy- Trackings darauf konzipiert ist, eine schnelle Information an eventuell Infizierte zu liefern. Sobald nur ein Bruchteil der potentiell infizierten Personen durch die App-Nutzung früher von der durch sie möglicherweise ausgehenden Gefahr erfährt und die notwendigen Maßnahmen der Isolation 43 Vgl. zu Bedenken hinsichtlich der Geeignetheit auch: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Handy-Tracking vs. Corona (Stand 31.03.2020), abrufbar unter https://www.datenschutz .rlp.de/fileadmin/lfdi/Dokumente/Handy-Tracking_vs._Corona.pdf (zuletzt aufgerufen am 7.4.2020). 44 Ähnlich Bedenken äußern auch: Brink/Henning, „Warum freiwilliges Handy-Tracking nicht funktioniert“, vom 3.4.2020, abrufbar unter https://netzpolitik.org/2020/warum-freiwilliges-handy-tracking- nicht-funktioniert/ (zuletzt aufgerufen am 8.4.2020). 45 Siehe auch: Mitteilung der Kommission, Leitlinien zum Datenschutz bei Mobil-Apps zur Unterstützung der Bekämpfung der COVID-19-Pandemie, 16.4.2020, C(2020) 2523 final, S. 11. 46 Vgl. Kugelmann, „Freiwillig oder mit Zwang?“, FAZ vom 9.4.2020, S. 7. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 14 und des Testes ergreift, können dadurch weitere Infektionen verhindert werden. Dass andere Informationswege daneben, wie auch bislang die persönliche Bekanntgabe von Kontakten gegenüber dem Gesundsheitsamt, nicht durch die App-Nutzung ersetzt werden können, ist schon deshalb vorauszusetzen, weil nicht alle Deutschen über ein Smartphone verfügen. Mithin ist aber davon auszugehen, dass eine verpflichtende Nutzung der App die Geeignetheit der Maßnahme steigern könnte. Die Verpflichtung könnte insoweit nur die Personen treffen, die über ein entsprechendes Gerät mit der notwendigen Bluetooth Low Energy-Technologie verfügen. 5.2.2.4. Verhältnismäßigkeit – Erforderlichkeit Eine Maßnahme ist dann erforderlich, wenn keine anderen Mittel zur Verfügung stehen, die in gleicher oder sogar besserer Weise das Ziel erreichen könnten. Im Rahmen des Infektionsschutzes kommen mehrere Möglichkeiten zum Lebensschutz in Betracht. Dazu zählen vor allem die bisher ergriffenen Kontaktbeschränkungen, Wirtschaftsbeschränkungen, Einreiseverbote, Versammlungsverbote etc. Dabei handelt es sich aber einerseits um sehr grundrechtssensible Maßnahmen, zum andern führen diese zu erheblichen Auswirkungen auf die inländische Wirtschaft. Eine weitere Maßnahme könnten regelmäßige flächendeckende Tests auf das Coronavirus sein, mit denen Erkrankte schnell erkannt werden können und dann entsprechende Maßnahmen der Quarantäne ergriffen werden können. Jedoch stehen derzeit in Deutschland noch keine ausreichenden Testmöglichkeiten und Laborkapazitäten bzw. Schnelltests dafür zur Verfügung. Zudem würde ein verpflichtender Test mit dem Recht auf Nichtwissen als negativer Variante des Rechts auf informationelle Selbstbestimmung47 kollidieren. Mithin sind zunächst keine anderen ebenso geeigneten Mittel ersichtlich und die Erforderlichkeit der Maßnahme wäre gegeben. Eine verpflichtende Anwendung des Handy-Trackings könnte erst dann erforderlich sein, wenn eine freiwillige Nutzung nicht zu einer weiteren Senkung der Infektionszahlen geführt hat.48 Insofern könnte auch ein gestuftes Vorgehen vorgezogen werden. Jedoch würde dies auch bedeuten, dass für die Eindämmung der Pandemie eventuell wertvolle Zeit verloren wird. Dem Staat steht zudem in Bezug auch die Erforderlichkeit einer Maßnahme ein Einschätzungs- und Beurteilungsspielraum zu. Dieser kommt vor allem immer dann zum Tragen, wenn wie hier aufgrund einer ständigen Weiterentwicklung der Erkenntnisse zur Pandemie eine unsichere Tatsachengrundlage besteht.49 5.2.2.5. Verhältnismäßigkeit – Angemessenheit Eine Maßnahme ist nur dann angemessen, wenn die mit der Maßnahme verbundenen Nachteile nicht vollkommen außer Verhältnis der damit verbundenen Vorteile stehen. Aus der weiteren verfassungsgerichtlichen Rechtsprechung können keine Anhaltspunkte entnommen werden, die gegen die Angemessenheit sprechen würden. 47 Di Fabio, in: Maunz/Dürig (Hrsg.), Grundgesetz-Kommentar, 89. EL Oktober 2019, Art. 2 Abs. 1 GG, Rn. 192. 48 Schwartmann, „Freiwillig oder mit Zwang?“, FAZ vom 9.4.2020, S. 7. 49 Klatt/Meister, JuS 2014, 193, 195. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 15 Die im Urteil des Bundesverfassungsgerichts (BVerfG) zur Vorratsdatenspeicherung50 getroffenen Aussagen lassen sich auf die geplante Tracking-App nur peripher übertragen. Insbesondere die Tatsachen, dass die relevanten Daten nicht bei dem Telekommunikations- oder App-Anbieter gespeichert werden, sondern auf dem Handy des jeweiligen App-Nutzers selbst, und dass dieser bei einer positiven Coronainfektion selbst über die Weitergabe der Daten entscheiden kann, führen zu erheblichen Unterschieden zur Vorratsdatenspeicherung. Das BVerfG machte in seiner Entscheidung zur Vorratsdatenspeicherung die Aspekte der Datensicherheit und der Transparenz der Datenübermittlung zu Teilen der Verhältnismäßigkeitsabwägung des Grundrechtseingriffs. Die durch das BVerfG aufgestellten Anforderungen an die Datensicherheit51 der gespeicherten Kontaktdaten scheinen zunächst in Bezug auf die Speicherung der Daten auf dem Gerät des App-Verwenders gewährleistet. Allerdings ist das Pendant der einzelnen Kontaktdaten auch stets auf dem Handy einer anderen Person gespeichert. Dies könnte Missbrauchsmöglichkeiten eröffnen. Jedoch sind auch dieser Person nicht die einzelnen Kontakte konkret bekannt, sondern nur eine ID, die sie selbst in der Regel keiner anderen Person zuordnen kann. Ausnahmen könnten nur dann bestehen, wenn die Kontakte nur mit einer oder sehr wenigen Personen bestanden. Fraglich ist, ob die App so konzipiert sein soll, dass die einzelne Person die weiteren gespeicherten IDs sehen kann. Wenn dies nicht der Fall ist, ist auch hier eine Identifikation ausgeschlossen. Auch die Datenübermittlung ist im Sinne des BVerfG transparent.52 Sie erfolgt nur im Zusammenhang der Meldung einer Kontaktperson als auf das Virus positiv getestet und führt unmittelbar über den Server zu einer Mitteilung an die Kontaktpersonen. Insofern erlangt man von jeder Übermittlung der eigenen IDs von Dritten an den Server Kenntnis. Fraglich ist, inwieweit die mögliche Ungenauigkeit der Bluetooth-Technologie zu einem anderen Ergebnis der Angemessenheitsprüfung führen kann. Dies müsste im Wesentlichen davon abhängig gemacht werden, wie hoch die Fehlerquote tatsächlich ist. Um die Fehlerquote entsprechend zu verringern, führen die Entwickler derzeit umfassende Tests mit Hilfe der Bundeswehr durch. Solange keine genauen Angaben zur Fehlerquote vorliegen, können diese vorläufig das Abwägungsergebnis nicht in Frage stellen. Eventuell könnte auch mittels eines entsprechenden Hinweises an die App-Nutzer über gewisse Fehlerquellen einschneidenden Folgen von Falschmeldungen begegnet werden. Im Rahmen der Angemessenheitsprüfung ist zudem eine Abwägung der unterschiedlichen Grundrechte erforderlich. Gesundheits- und Lebensschutz überwiegt nicht per se das Recht auf informationelle Selbstbestimmung.53 Im Ergebnis stehen den mit dem Tracking verbundenen Vorteilen der Möglichkeit der schnelleren Kontaktnachverfolgung und dadurch erfolgten Unterbrechung von Infektionsketten, die dem Lebensschutz und der Verhinderung der Überlastung des Gesundheitssystems dient, keine erheblichen Nachteile gegenüber. Die Informationsdichte über Kontakte, die 50 BVerfG, Urteil vom 2.3.2010 – 1 BvR 256/08 BVerfGE 125, 260. 51 BVerfG, Urteil vom 2.3.2010 – 1 BvR 256/08 BVerfGE 125, 260, Rn. 221 ff. 52 BVerfG, Urteil vom 2.3.2010 – 1 BvR 256/08 BVerfGE 125, 260. 53 Kugelmann, „Freiwillig oder mit Zwang?“, FAZ vom 9.4.2020, S. 7. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 16 verschlüsselt durch eine temporäre ID, die nur durch das eigene Handy entschlüsselt werden kann, weitergegeben wird, ist so gering, dass die mit dem Tracking verbundenen Vorteile die Nachteile deutlich überwiegen. Mithin liegt keine Verletzung des Grundrechts auf informationelle Selbstbestimmung nach Art. 2 Abs. 1 iVm Art. 1 Abs. 1 GG vor. 5.3. Weitere Grundrechte Auch ein daneben bestehender Eingriff in das Grundrecht der Allgemeinen Handlungsfreiheit aus Art. 2 Abs. 1 GG, der in dem verpflichtenden Akt der Installation einer App auf dem Handy liegen könnte, könnte aufgrund der gleichen Überlegung gerechtfertigt werden. Über die genaue Ausgestaltung der Infektionswarnung, die seitens des Robert Koch-Instituts an die Handys mit entsprechendem Kontakt zu Corona-positiv-Getesteten gesendet werden würde, ist bislang wenig bekannt. Da beispielsweise eine Quarantäneanordnung nach § 30 Infektionsschutzgesetz nur durch die zuständige Behörde und damit in der Regel das Gesundheitsamt erlassen werden kann, ist davon auszugehen, dass seitens des Robert Koch-Instituts nur ein Hinweis bzw. eine Bitte zur Isolation und zum Test erfolgt, ohne dass aus dieser Nachricht konkrete Rechtsfolgen resultieren. Dies wäre auch datenschutzrechtlich nur unter bestimmten Bedingungen möglich (Art. 22 DSGVO).54 Es können auch mangels des Vorliegens personenbezogener Daten keine an das Gesundheitsamt gemeldet werden, damit dieses entsprechende Maßnahmen einleitet. Mithin kann auch in der Information über einen entsprechenden Kontakt kein Eingriff in ein Grundrecht liegen. Fraglich ist auch, wie die Maßnahme des Handy-Trackings mit den Grundrechten zu vereinbaren wäre, wenn an die Nutzung der entsprechenden Handy-App die Teilnahme an bestimmten Teilen des öffentlichen Lebens, wie zum Beispiel Restaurantbesuche geknüpft wird.55 Ein solcher Ausschluss von Nicht-App-Nutzern könnte zwar wohl als Schutzmaßnahme auf der Grundlage von § 28 Abs. 1 IfSG angeordnet werden, er würde jedoch auch einen Eingriff in die allgemeine Handlungsfreiheit , Berufs-, Gewerbe- und Eigentumsfreiheit sowie in den allgemeinen Gleichbehandlungsgrundsatz darstellen. Eine Rechtfertigung dessen scheint ohne einen leicht zugänglichen Ersatz (s.o. zum Beispiel Schlüsselanhänger) für Personen, die kein Smartphone nutzen, nicht möglich. 6. (Verfassungs-) rechtliche Voraussetzungen einer behördlichen Anordnung des Trackings 6.1. Rechtsgrundlage Für ein freiwilliges Tracking per App bedürfte es wohl keiner gesonderten Rechtsgrundlage. Ein Agieren des Staates liegt hier erst vor, wenn seitens des Robert Koch-Instituts die Kontaktwarnung einschließlich der Empfehlungen zum Test und zur Isolation erfolgt. Da es sich dabei aber nur um eine Empfehlung handelt, aber keine Verpflichtung vorgesehen ist, ist keine Rechtsgrundlage zwingend erforderlich. Insbesondere erfasst § 2 Abs. 3 Nr. 1 des Gesetz über Nachfolgeeinrichtungen des Bundesgesundheitsamtes (BGA-Nachfolgegesetz - BGA-NachfG) die Erkennung, 54 Mitteilung der Kommission, Leitlinien zum Datenschutz bei Mobil-Apps zur Unterstützung der Bekämpfung der COVID-19-Pandemie, 16.4.2020, C(2020) 2523 final, S. 8. 55 So der Vorschlag von Löffler, „Ins Restaurant nur mit Corona-App?“, LTO vom 8.4.2020, abrufbar unter https://www.lto.de/recht/hintergruende/h/corona-app-diskriminierung-milderes-mittel-auflage-ende-ausgangssperre -exit-strategie/ (zuletzt aufgerufen am 8.4.2020). Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 17 Verhütung und Bekämpfung von übertragbaren und nicht übertragbaren Krankheiten als Aufgabe des Robert Koch-Instituts, worunter wohl auch entsprechende Warnungen subsumiert werden könnten. Fraglich ist, ob bereits eine taugliche Rechtsgrundlage für ein verpflichtendes Handy-Tracking besteht. § 28 Abs. 1 IfSG kann keine taugliche Rechtsgrundlage darstellen, da dieser nur Maßnahmen gegenüber bestimmten Personen zulässt. Nach § 32 IfSG können aber auch Rechtsverordnungen für einen nicht bestimmbaren Personenkreis zum Infektionsschutz getroffen werden.56 Diese Kompetenz steht jedoch den Ländern zu. Insofern ist zu beachten, dass ein flächendeckender Zwang zum Handy-Tracking nur mittels 16 Rechtsverordnungen auf Landesebene erzielt werden könnte. Einzig § 5 Abs. 2 Nr. 3 IfSG kann so ausgelegt werden, dass er auch eine einheitliche Rechtsverordnung durch das Bundesministerium für Gesundheit in Bezug auf die Verhütung und Bekämpfung übertragbarer Krankheiten ermöglicht. Ob § 5 Abs. 2 Nr. 3 IfSG aber eine mit der Verfassung vereinbare Ermächtigungsnorm darstellt, ist zu bezweifeln.57 Darüber hinaus ist zu bedenken, dass von der Rechtsprechung des BVerfG und dem weit überwiegenden Teil der Literatur für Eingriffe in das Recht auf informationelle Selbstbestimmung ein förmliches Gesetz als Rechtsgrundlage gefordert wird.58 Aus diesem müssen „sich die Voraussetzungen und der Umfang der Beschränkungen klar und für den Bürger erkennbar ergeben und […] damit dem rechtsstaatlichen Gebot der Normenklarheit“59 entsprochen werden. Zudem bestehen strikte Zweckbindungs- und Zweckbestimmungsvorgaben.60 Selbst die wenigen Stimmen, die auch eine Rechtsverordnung als Rechtsgrundlage genügen ließen, stellen hohe Anforderungen an die Ermächtigungsgrundlage,61 die durch die Ermächtigungsgrundlagen nach § 5 Abs. 2 Nr. 3 und § 32 IfSG wohl nicht erfüllt wären. Insofern wäre eine gesetzliche Regelung Voraussetzung für eine Pflicht zum Handy-Tracking. 6.2. Datenschutzrechtliche Erwägungen Fraglich ist, ob bezüglich des Handy-Trackings in der derzeit bekannten Ausgestaltung das Datenschutzrecht anwendbar ist. Nach der oben unter 5.2.2.1. zusammengefassten Prüfung handelt es sich bei den durch das Handy-Tracking erfassten Daten nicht um personenbezogenen Daten. Nur wenn solche verarbeitet werden, ist das Datenschutzrecht jedoch anwendbar, Art. 2 Abs. 1 DSGVO. 56 Kugelmann, „Freiwillig oder mit Zwang?“, FAZ vom 9.4.2020, S. 7. 57 Dazu ausführlich: Wissenschaftliche Dienste des Deutschen Bundestages, Staatsorganisation und § 5 Infektionsschutzgesetz , WD 3 - 3000 - 080/20 vom 2.4.2020, abrufbar unter https://www.bundestag.btg/Wissen/Dossiers /Ablage/7912/Ausarbeitung_7912_14.pdf (zuletzt aufgerufen am 15.4.2020). 58 BVerfGE 65, 1, 44; BVerfGE 92, 191, 197; Dreier, in: Dreier (Hrsg.), Grundgesetz-Kommentar, 3. Aufl. 2013, Art. 2 Abs. 1, Rn. 91; Kugelmann, „Freiwillig oder mit Zwang?“, FAZ vom 9.4.2020, S. 7. 59 BVerfGE 65, 1, 44. 60 BVerfGE 65, 1, 44, 46; BVerfGE 92, 191, 197; Dreier, in: Dreier (Hrsg.), Grundgesetz-Kommentar, 3. Aufl. 2013, Art. 2 Abs. 1, Rn. 91; Mitteilung der Kommission, Leitlinien zum Datenschutz bei Mobil-Apps zur Unterstützung der Bekämpfung der COVID-19-Pandemie, 16.4.2020, C(2020) 2523 final, S. 12 f. 61 Vgl. Verweise bei Dreier, in: Dreier (Hrsg.), Grundgesetz-Kommentar, 3. Aufl. 2013, Art. 2 Abs. 1, Rn. 91, Fn. 462. Wissenschaftliche Dienste Ausarbeitung WD 3 - 3000 - 098/20 Seite 18 Trotzdem können dem Datenschutzrecht einige Hinweise entnommen werden, die auch für das geplante Handy-Tracking relevant sind. Durch den Verzicht der App auf die Eingabe persönlicher Daten wird dem Grundsatz der Datensparsamkeit entsprochen. Zudem ist notwendig, dass eine Frist zur Löschung der ID-Kontaktdaten auf den Handys der einzelnen Nutzer festgelegt wird. Diese könnte zum Beispiel dem Ablauf der als Quarantänefrist festgelegten 14 Tage entsprechen.62 Fraglich ist, ob es sich bei den zu verarbeitenden Daten um sog. „Gesundheitsdaten“ handelt, die einem besonderen Schutz (Art. 9 Abs. 1 DSGVO) unterliegen. Nach Art. 4 Nr. 15 DSGVO sind „Gesundheitsdaten“: „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen“. Dies kann für die gespeicherten ID-Kontaktdaten nicht angenommen werden. Jedoch könnte die Meldung der einzelnen Person, dass sie positiv auf das Virus getestet wurde, eine solche Information darstellen. Erheblich ist an dieser Stelle aber erneut, ob die gemeldete ID hier als personenbezogenes Datum erkannt wird. Falls nein, dann ist die alleinige Information, dass der Inhaber einer bestimmten ID das Coronavirus hat, noch kein Gesundheitsdatum im Sinne der DSGVO. Sobald Gesundheitsdaten erfasst werden, wäre darüber hinaus auch eine Datenschutz-Folgeabschätzung (Art. 35 DSGVO) notwendig.63 *** 62 So auch: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Handy-Tracking vs. Corona (Stand 31.3.2020), abrufbar unter https://www.datenschutz.rlp.de/fileadmin/lfdi/Dokumente/Handy- Tracking_vs._Corona.pdf (zuletzt aufgerufen am 7.4.2020). 63 Mitteilung der Kommission, Leitlinien zum Datenschutz bei Mobil-Apps zur Unterstützung der Bekämpfung der COVID-19-Pandemie, 16.4.2020, C(2020) 2523 final, S. 15.