Datenschutz und Datensicherheit

Die Gesetzgebung steht bei der rapiden Technologienentwicklung häufig vor dem Problem, wie die Datenschutz- und Datensicherheitsgesetze an die jüngste Technologie angepasst werden kann.

Demensprechend werden in diesem Abschnitt die dazugehörigen Schutzziele des Datenschutzes und der Datensicherheit erläutert und die Problematik dargestellt. Anschließend wird die aktuelle Situation in Bezug auf gesundheitliche Applikationen beschrieben und dazugehörige Anforderungen gestellt.

Schutzziele und Problematik des Gesetzesentwurf

Durch den rasanten Anstieg von digitalen Applikationen und den großen Dimensionen der Datensammlung, müssen dementsprechend auch die Gesetzestexte an die neueste Technologie angepasst werden. Eine Möglichkeit ist die Integration von den Schutzzielen der Datensicherheit “Verfügbarkeit, Integrität und Vertraulichkeit”, in Kombination mit den Zielen des Datenschutzes “Transparenz, Nicht-Verkettbarkeit und Intervenierbarkeit”. Die Schutzziele werden im folgenden Absatz näher erläutert.

Die Verfügbarkeit versichert das Vorhandensein aller Daten und schützt somit vor unrechtmäßiger Zerstörung oder Löschung. Diese Daten müssen in einer bestimmten Zeit zugreif- und anwendbar sein. Wenn es um die Glaubwürdigkeit von Daten geht, spricht man von der Integrität. Die Integrität soll vor unrechtmäßiger Bearbeitung von Daten bewahren. Ein Gegenbeispiel bilden die Shared-Accounts. In diesem Fall wird ein Benutzerkonto mit mehreren Individuen geteilt. Falls eine beliebige Person Daten ändert, kann nicht nachgewiesen werden, wer und zu welchem Zeitpunkt diese manipuliert wurden. Das letzte Schutzziel der Datensicherheit ist die Vertraulichkeit. Hier wird ein Authentifizierungssystem in Anwendungen benötigt, um einen rollenbasierten Zugriff auf bestimmte Daten zu ermöglichen.

Darauffolgend werden die Schutzziele um die Ziele des Datenschutzes erweitert. Durch Transparenz soll die Art und Weise offengelegt werden, wie die Betreiber/innen einer Applikation personenbezogene Benutzerdaten verarbeiten. Auf diese Weise kann die Verarbeitung “nachvollzogen, überprüft und bewertet werden”. Wenn ein/e Betreiber/in Daten an Dritte übermittelt, sollen aufgrund der Nicht-Verkettbarkeit jegliche Nutzerdaten anonymisiert und pseudonymisiert werden. Folglich versteht man unter der Intervenierbarkeit, dass der Anbieter Betroffenenrechte wie das Recht auf Auskunft, Berichtigung, Sperrung und Löschung erfüllen muss. Wenn es sich um ein soziales Netzwerk handelt, wäre ein Verfahren zur Löschung des eigenen Benutzerkonto ein valides Beispiel.

Eine große Hürde für die Gesetzesgestaltung ist die Übersetzungsarbeit. Einer Person mit juristischem Sachverstand, aber ohne technisches Wissen kann die Verantwortlichkeit der Umsetzung von datenschutzrechtlichen Gesetzen nicht  übergeben werden. Jedoch können die technischen Beschreibungen von Anwendungssystemen durch verantwortliche Entwickelnde erfolgen. Denjenigen Personen mit einer juristischen Ausbildung ist es möglich, anhand der Schutzziele eine adäquate Gestaltung und Prüfung von Gesetzesentwürfen zu vollziehen.

In der heutigen Umsetzung der DSGVO werden folgende Schutzziele verfolgt:

• Vertraulichkeit
• Integrität
• Verfügbarkeit
• Belastbarkeit
• Data protection by design
• Data protection by default

Die ersten drei Ziele sind aus der IT-Sicherheit bekannt und wurden bereits erläutert. Weiterführend gibt es ein spezielles, zusätzliches Ziel und zwar die Belastbarkeit. Hinsichtlich dieses Schutzziels wird erwartet, dass ein IT-System spezielle Angriffe wie zum Beispiel einem Denial of Service Angriff (DDoS) standhält. Eine genaue Abgrenzung von Angriffen ist derzeit nicht gegeben. Die zwei letzten Begriffe verlangen im Allgemeinen das Vorausplanen von Maßnahmen, die den Datenschutz erhöhen. So wie etwa das Blockieren von Standardpasswörter bei einer Registrierung.

Anforderungen an eHealth-Apps

Der Begriff e-Health ist bisher gesetzlich nicht definiert. Grundsätzlich steht e-Health “für jede Art von elektronischer Unterstützung im Gesundheitswesen, wie zum Beispiel […] digitale[n] Arztbriefe[n] oder elektronische[n] Patientenakten”. Darunter zählen auch die Fitness-Tracker auf Smartphones und Wearables.

Bevor die Anforderungen behandelt werden, muss die aktuelle Situation genauer dargestellt werden. Bei der Verarbeitung von Gesundheitsdaten sind sensible Daten, wie die ethnische Herkunft und Krankheitsentwicklungen als kritisch zu betrachten. Mit diesen Daten sind Anbieter/innen in der Lage umfangreiche Benutzerprofile zu erstellen. Des Weiteren können andere Personen durch die Datenerhebung unabsichtlich involviert werden. Die Annahme ist, dass ein/e Benutzer/in während der Registrierung bei einer Anwendung eine vererbbare Krankheit angibt. Dadurch können Betreiber/innen, die Familienmitglieder dieser Person ebenfalls zu dieser Krankheit zuordnen, obwohl vom Familienmitglied keine Angaben darüber existieren. Dies stellt ein hohes Risiko der Privatsphäre dar.

In der folgenden Abbildung wird ein weiterer Grund für die kommenden Anforderungen dargestellt. Die Tabelle zeigt einen Ausschnitt eines Tests, der von einer unabhängigen Anwaltskanzlei durchgeführt wurde. In diesem Ergebnis sind verschiedene Anbieter/innen von Health Applikationen auf die Probe gestellt worden. Bei dieser Untersuchung testeten die Experten/innen, “ob die Bestimmungen gut einzusehen sind und ob verbraucherunfreundliche oder unwirksame Klauseln vorliegen”. Die Mehrheit in diesem Ausschnitt konnte nicht die Note “gut” erreichen.

An dieser Stelle werden drei datenschutzrechtliche Anforderungen an e-Health Apps gestellt, beginnend mit der Rechtmäßigkeit der Verarbeitung. Laut der DSGVO ist die Verarbeitung erst erlaubt, wenn eine Rechtsgrundlage die Verarbeitung legitimiert (Art. 6 DSGVO).  Demnach ist die erste Anforderung, die Verarbeitung von sensiblen Daten für die Betreiber/innen von e-Health Anwendungen zu untersagen. Es darf nur zur Verarbeitung kommen, wenn der Benutzer/innen dies ausdrücklich einwilligt. Darauf folgend soll die Verarbeitung dem Erhebungszweck dienen.

Gleichzeitig herrscht in der DSGVO die Informationspflicht(Art. 13, 14 DSGVO). Dessen betrachtet sollen die Betreiber/innen die Art und Weise der Verarbeitung von Benutzerdaten öffentlich stellen. Zusätzlich zu der Informationspflicht, soll der/die Benutzer/in aktiv über den Kontext der Verarbeitung informiert werden. Dies wird die “Bringschuld” genannt und kann beispielsweise eine Datenschutzerklärung in Papierform sein, die in eine Produktverpackung eingepflegt wird. Unter dem Kontext der Verarbeitung zählen Kontaktdaten zum Datenschutzbeauftragten, Zweck und Grundlage der Verarbeitung, Dauer der Datenverarbeitung, Hinweise zu Benutzerrechten und die zuständige Datenschutzaufsichtsbehörde.

Letztendlich wird die Datenübermittlung an Drittstaaten behandelt. Oftmals lagern Betreiber/innen die Verarbeitung an dritte Parteien aus, um positive Nutzen aus deren Fähigkeiten zu ziehen. Dafür wird ein Auftragsverarbeitungsvertrag benötigt und erlaubt die Verarbeitung auf dokumentierte Weise. In Bezug auf e-Health ist die Anforderung, hinzukommende Datenschutzaspekte zu justifizieren. Dies kann in Form von EU-Standardklauseln erreicht werden. Jedoch soll vor der Übermittlung ergänzend überprüft werden, ob die Übergabe und Verarbeitung der Daten legitim ist.

Durch diese Anforderungen kann die informationelle Selbstbestimmung des Einzelnen geschützt werden. Somit sind seitens der Anbieter/innen und der verantwortlichen Rechtsvertretung höhere Maßstäbe bei der Verarbeitung von Gesundheitsdaten zu setzen.

Fachliteratur:

• Sebastian Meissner und Kirsten Bock über Datenschutz-Schutzziele im Recht
• Alexander Krämer und Florian Fischer über eHealth in Deutschland
• Annika Selzer, Thomas Kunz und Benjamin Lange über Datenschutz und Datensicherheit in Digital Public Health

Internetquellen:

• Eric Weis über Vertraulichkeit, Integrität und Verfügbarkeit – Schutzziele der Informationssicherheit (Zugriff: 03.03.2020)
• Der Bayrische Landesbeauftragte für Datenschutz über die Datenschutz-Grundverordnung – Anforderungen an Technik und Sicherheit der Verarbeitung (Zugriff: 03.03.2020)
• Julia Struck über Datenschutz von Wearables im Test (Zugriff: 03.03.2020)
• Oliver Schonschek über Datenschutzprinzipien – das Recht der Betroffenen (Zugriff: 03.03.2020)