Singapur setzt eine Tracking-App breitflächig im Kampf gegen Corona ein, das Vereinigte Königreich, Frankreich und die Schweiz haben entsprechende Pläne bekanntgegeben, auch Deutschland, Australien, Neuseeland und Russland diskutieren darüber.

Bei der technischen Realisierung gibt es viele Spielarten. Ob eine App datenschutzrechtlich zulässig ist, hängt in erster Linie davon ab, ob sie als Überwachungsinstrument missbraucht werden könnte. Wenn man von einer "Tracking-App" hört, denkt man an eine mobile App, die die Standorte aller Nutzer fortlaufend überwacht und zentral protokolliert. Dies wäre jedoch aus mehreren Gründen unzulässig – und ist zur Virusbekämpfung auch gar nicht notwendig.

GPS ohne Mehrwert

Erstens hat GPS, die zentrale Technik zur Standortbestimmung, eine Ungenauigkeit von mehreren Metern und sagt auch nichts darüber aus, ob sich zwischen zwei Personen eine Feuermauer befindet. Dies macht GPS zur Erfassung von persönlichen Kontakten bereits aus technischer Sicht ungeeignet.

Darüber hinaus würde mit GPS mehr an Daten erhoben als eigentlich erforderlich: Um einen persönlichen Kontakt zu erkennen, ist die absolute Position unerheblich; es kommt ausschließlich darauf an, wie nahe einander zwei Personen gekommen sind.

Auch die Europäische Kommission empfiehlt daher, statt auf GPS auf Bluetooth zu setzen, das eine Sendereichweite von circa zehn Metern hat. Ein Standort-Tracking ist damit bereits technisch ausgeschlossen. Erfasst kann damit nur werden, wer wem nähergekommen ist. "Kontakttagebuch" wäre für derartige Lösungen daher die deutlich präzisere Bezeichnung.

Enormes Missbrauchspotenzial

Die zweite entscheidende Frage lautet, ob die Daten zentral protokolliert werden. Dies wäre zwar technisch einfacher umzusetzen, würde jedoch ein enormes Missbrauchspotenzial eröffnen. Speichert die App die erfolgten Kontakte hingegen ausschließlich auf dem jeweiligen Endgerät, behält erstens jeder Nutzer vollständige Kontrolle über seine Daten, und zweitens wird Missbrauch deutlich schwieriger.

Wird jemand positiv auf das Coronavirus getestet, so hat es ausschließlich diese Person in der Hand, ihre bisherigen Kontakte über die Infektion zu informieren. Wie auch die Europäische Kommission empfiehlt, sollte die Information der bisherigen Kontakte ohne Nennung des Namens der infizierten Person erfolgen.

Schließlich ist es nicht notwendig, zu erfahren, durch wen man sich angesteckt haben könnte, um entsprechende Maßnahmen – von Selbstisolation bis hin zu einem Corona-Test – durchführen zu können.

Die in Österreich verbreitete "Stopp Corona"-App des Österreichischen Roten Kreuzes erfüllt die oben beschriebenen grundlegenden Datenschutzanforderungen ebenso wie die detaillierten Empfehlungen der Europäischen Kommission. Sie wurde vergangene Woche auch als Open Source veröffentlicht.

Einsatz im Betrieb

Es ist naheliegend, dass viele Arbeitgeber darüber nachdenken, ihre Mitarbeiter zum Einsatz von Tracking-Apps zu verpflichten. Denn ansonsten müsste der Arbeitgeber, sobald er von der Infektion eines Mitarbeiters erfährt, dessen persönliche Kontakte mit anderen Mitarbeitern rekonstruieren (sogenanntes Contact-Tracing). Dies ist oft nur sehr schwer möglich und mit Eingriffen in die Privatsphäre verbunden – insbesondere wäre es notwendig, die Identität des Infizierten anderen Mitarbeitern gegenüber offenzulegen.

Das Datenschutzrecht setzt Arbeitgebern bei der Einführung einer verpflichtenden Nutzung einer Tracking-App dennoch harte Grenzen. Erstens kommt eine solche Verpflichtung überhaupt nur in Betracht, wenn aufgrund der konkreten Arbeitsbedingungen eine solche Tracking-App überhaupt notwendig und das gelindeste hinreichende Mittel ist – z. B. weil enger persönlicher Kontakt bei manchen Produktionsprozessen unvermeidbar und gleichzeitig schwer manuell zu protokollieren ist.

Zweitens setzt die Verpflichtung einer solchen App in Betrieben mit Betriebsrat jedenfalls eine Betriebsvereinbarung voraus. Ist der Betriebsrat dagegen, könnte allenfalls eine Schlichtungsstelle angerufen werden, die jedoch erst in einigen Monaten entscheiden würde.

Nur auf dem Firmenhandy

Drittens kann der Arbeitgeber nicht über die privaten Mobiltelefone seiner Mitarbeiter verfügen. Er kann nur die App-Installation auf einem Firmenhandy anordnen.

Viertens kann der Arbeitgeber seine Mitarbeiter zur Verwendung einer solchen App nur während der Arbeitszeit verpflichten. Ob die Mitarbeiter die App in ihrer Freizeit verwenden, muss ihnen überlassen bleiben.

Die Verpflichtung zum Einsatz einer Tracking-App, die die Empfehlungen der Europäischen Kommission umsetzt, kann daher für Arbeitgeber ein zulässiges Werkzeug sein, um einen Weg zur "neuen Normalität" zu finden.

Sie würde es Mitarbeitern auch ersparen, eine positive Corona-Diagnose dem Arbeitgeber melden zu müssen, weil dies anonym über die App erfolgen würde. Der Mitarbeiter könnte sich wie sonst auch ohne Nennung der gesundheitlichen Ursache krankmelden.

Die vieldiskutierte Frage nach Datenschutz vs. Menschenleben ist daher richtigerweise wie folgt zu beantworten: beides. (Lukas Feiler, 4.5.2020)