Der geplante grüne Pass hatte schon zuvor für Kritik von Datenschutzexperten gesorgt: Anfang Mai war geplant gewesen, auch die Nutzung der E-Card in das System zu integrieren, was nach damaliger Ansicht massenhafte Datensammlungen und Stalking ermöglicht hätte – aufgrund der starken Kritik wurden diese Pläne rasch wieder begraben. Am Mittwoch wiederum endete nun die Begutachtungsfrist für eine Novelle des Epidemie- und des Covid-Maßnahmengesetzes, welche die rechtliche Basis für den grünen Pass schaffen soll. Hier wurde erneut Kritik laut.

So führt die Datenschutz-NGO Epicenter Works an, dass das Gesetz eine Verknüpfung von aktuellen und historischen Daten über das Erwerbsleben, das Einkommensniveau, etwaige Zeiten der Arbeitslosigkeit, den Bildungsweg und Krankenstände aller geimpften oder genesenen Personen vorsieht. In dieser Datenbank seien kranke ebenso wie genesene und geimpfte Personen erfasst – und somit früher oder später so gut wie die gesamte Bevölkerung. Durch die Fülle der Daten sei zudem keine Pseudonymisierung mehr möglich, kritisiert Epicenter Works weiter.

Im Lauf der Woche äußerten sich zahlreiche Personen und Institutionen kritisch zu den Plänen – darunter neben den Datenschützern und den Oppositionsparteien auch der Dachverband der Sozialversicherungsträger, die Elga GmbH, die Ärztekammer und diverse Wissenschafter. "Unser wissenschaftliches Interesse ist zum Beispiel, Wiedererkrankungen von geimpften Personen zu detektieren", sagt dazu etwa Nikolaus Popper von der TU Wien: "Dazu brauchen wir Datenverknüpfungen, aber auch professionelle Prozesse, wie Daten wem zur Verfügung gestellt werden. Solche wissenschaftlichen Lösungen gibt es, und die müssen gleich mitgedacht werden."

Antworten aus dem Ministerium

Der STANDARD hat das Gesundheitsministerium um Stellungnahme zu den wichtigsten Fragen rund um das Vorhaben gebeten – inklusive ausgewählten Fragen, die von Userinnen und Usern des STANDARD-Forums gestellt wurden. Die Antworten werden an dieser Stelle im Wortlaut veröffentlicht.

STANDARD: Wozu ist es aus Sicht des Ministeriums nötig, private Daten aus dem nichtgesundheitlichen Bereich (Bildungsweg, Arbeitslosigkeit, Beschäftigung etc.) zu verknüpfen, um eine Pandemie zu bekämpfen?

Gesundheitsministerium: Es geht um die evidenzbasierte Entwicklung von Maßnahmen für die jetzigen Herausforderungen in der Pandemie: Präventionskonzepte, Zielgruppen-spezifische Kommunikation und den Umgang mit Long Covid. Es ist auch wichtig, die Auswirkungen der Pandemie auf unterschiedliche Bevölkerungsgruppen besser zu verstehen, um für zukünftige Herausforderungen rund um Sars-CoV-2 und mögliche ähnliche Krisen vorbereitet zu sein. Hier ist auch die Einbindung der Wissenschaft wesentlich, für die die Beforschung der sozioökonomischen Dimension der Krise ganz wesentlich ist.

STANDARD: Wozu ist es nötig, die Daten – wie kolportiert – in ein weiteres Register zu kopieren?

Gesundheitsministerium: Es geht nicht um das Kopieren der Daten in ein weiteres Register, sondern um Übermittlung und Abgleich von Daten. Dafür braucht es eine Rechtsgrundlage, die der Entwurf hier vorsieht. Was die technische Umsetzung angeht, sollen darüber hinaus mit den Partnerinstitutionen datenschutzrechtlich passende Lösungen geprüft werden. Das grundsätzliche Ziel im Entwurf ist die Anreicherung der Datengrundlagen im Epidemiologischen Meldesystem, nicht des Impfregisters, das auch nicht gesamthaft mit dem EMS verknüpft werden soll.

STANDARD: Stimmt die Argumentation der NGO Epicenter Works, dass die Pseudonymisierung mit dieser Vorgangsweise nicht mehr hält?

Gesundheitsministerium: Nein. Die Daten sind selbstverständlich weiterhin pseudonym und könnten nur mit der Beiziehung weiterer Datenbestände zur Identifikation von Individuen führen. Es gilt hier, eine Abwägung zu treffen zwischen dem potentiellen Nutzen und Schaden nicht nur der Datenverwendung, sondern auch der Nichtverwendung. Die grundsätzliche Identifizierbarkeit von Personen ist ein Merkmal von personenbezogenen Daten (Art 4 Z 1 DSGVO), wäre diese nicht gegeben, würden wir von anonymen Daten sprechen.

STANDARD: Was bedeutet die Kritik für die Zukunft des Projekts?

Gesundheitsministerium: Die Stellungnahmen werden selbstverständlich genau geprüft und mit Experten und Expertinnen besprochen. Allfällige Anpassungen sind daher selbstverständlich auch möglich.

STANDARD: Wird es auch weiterhin keine Möglichkeit zum Opt-out geben?

Gesundheitsministerium: Langfristig wird es eine Kombination von bevölkerungsweiten Opt-out- und Opt-in-Lösungen brauchen. Die Long-Covid-Versorgung und diverse Forschungsarbeiten würden von Opt-in-Modellen ("Datenspende") profitieren. Im Elga-Kontext hat sich die Opt-out-Lösung bewährt. Im Krisenfall braucht es umfassende Datengrundlagen, weil man ohne diese im Blindflug unterwegs wäre und nicht einmal wüsste, wo die blinden Flecken genau sind.

STANDARD: Wie wird sich dies aus Ihrer Sicht auf die Impfbereitschaft der Menschen auswirken?

Gesundheitsministerium: Der grüne Pass ist getrennt von der Datengrundlage für ein evidenzbasiertes Pandemiemanagement zu betrachten. Die angesprochene Bestimmung steht auch nicht im inhaltlichen Zusammenhang mit den Bestimmungen zum grünen Pass. Die erweiterten Datengrundlagen für das Pandemiemanagement, wie aktuell im Entwurf vorgesehen, und die wissenschaftliche Beforschung werden ausschließlich auf pseudonymer Basis (keine Namen, keine Adressen, etc.) durchgeführt.

STANDARD: Wie wird diese Datenbank technisch umgesetzt, und welchen Sicherheitsnormen entspricht die Datenbank?

Gesundheitsministerium: Der technische Aufbau der Datenbank entspricht den Sicherheitsanforderungen für den Umgang mit gesundheitsbezogenen Daten. Hierzu gibt es natürlich ein internes Sicherheitskonzept, das auch der Datenschutzbehörde übermittelt wurde.

STANDARD: Ist der grüne Pass ein offizielles Dokument – und wenn ja: Welche Behörde stellt ihn eigentlich aus?

Gesundheitsministerium: Die Zertifikate des grünen Passes (Testungszertifikat, Genesungszertifikat, Impfzertifikat) sind als Dokument anzusehen und werden über das, durch den Abänderungsantrag des Epidemiegesetzes 1950 und Covid-19-Maßnahmengesetzes noch zu schaffende, Epi-Service erstellt. Ausgestellt werden sie durch das Bundesministerium für Soziales, Gesundheit, Pflege und Konsumentenschutz. (Stefan Mey, 21.5.2021)