Die Bekämpfung einer Pandemie fällt leichter, wenn es eine gute Datengrundlage gibt. Doch wie groß darf diese sein? Und wie sieht es mit der Anonymität der Betroffenen aus? Diese Fragen werden durch die Novelle des Epidemie- und des Covid-Maßnahmen-Gesetzes, welches unter anderem die Grundlage für den grünen Pass bildet, neu aufgeworfen. Zum Ende der Begutachtungsfrist äußert die Datenschutz-NGO Epicenter Works scharfe Kritik daran: Denn das Gesetz sieht die Verknüpfung von aktuellen und historischen Daten über das Erwerbsleben, das Einkommensniveau, Arbeitslosigkeiten, den Bildungsweg, Reha-Aufenthalte und Krankenstände aller geimpften oder genesenen Personen vor. Diese sollen im Epidemiologischen Meldesystem (EMS) zusammengetragen werden. "Fast alle unserer Lebensbereiche werden in dieser Datenbank durchleuchtet werden", warnt Epicenter Works. Da sowohl geimpfte als auch genesene Personen in die Datenbank aufgenommen werden, wäre darin so gut wie die gesamte Bevölkerung erfasst. Die NGO droht mit einer Verfassungsklage, sollte das Gesetz beschlossen werden.

Bekämpfung der Pandemie

Auf Anfrage des STANDARD begründet das Gesundheitsministerium den Schritt mit der "evidenzbasierten Entwicklung von Maßnahmen für die jetzigen Herausforderungen in der Pandemie": Es gehe um Präventionskonzepte, zielgruppenspezifische Kommunikation und den Umgang mit Long Covid. Zudem sei es wichtig, "die Auswirkungen der Pandemie auf unterschiedliche Bevölkerungsgruppen besser zu verstehen, um für zukünftige Herausforderungen rund um Sars-CoV-2 und mögliche ähnliche Krisen vorbereitet zu sein". Auch die Einbindung der Wissenschaft zur "Beforschung der sozioökonomischen Dimension der Krise" sei in diesem Kontext wesentlich. In der genannten Wissenschaft sieht man die Sache wiederum differenzierter. "Unser wissenschaftliches Interesse ist zum Beispiel, Wiedererkrankungen von geimpften Personen zu detektieren", sagt Nikolaus Popper von der TU Wien. "Dazu brauchen wir Datenverknüpfungen, aber auch professionelle Prozesse, wie Daten wem zur Verfügung gestellt werden. Solche wissenschaftlichen Lösungen gibt es, und die müssen gleich mitgedacht werden."

Rückverfolgbarkeit

Bedenken hat Epicenter Works nämlich zur Rückverfolgbarkeit zu Einzelpersonen: Angesichts der Datenfülle sei die geplante Pseudonymisierung "gänzlich wirkungslos, da Menschen anhand der Kombination der Merkmale eindeutig identifizierbar werden." Im Ministerium widerspricht man: "Die Daten sind selbstverständlich weiterhin pseudonym und könnten nur mit der Beiziehung weiterer Datenbestände zur Identifikation von Individuen führen", heißt es. Es gelte, zwischen potenziellem Schaden und Nutzen abzuwägen.

Scharfe Kritik kam auch vom Rechtsanwaltskammertag (ÖRAK). Der Gesetzesentwurf lasse die gebotenen Verhältnismäßigkeitserwägungen in Hinblick auf den Eingriff in das Grundrecht auf Datenschutz missen. Deshalb soll der Gesetzesentwurf überarbeitet werden. Die Rechtsanwälte sehen das Gesetz als verfassungsrechtlich und unionsrechtlich kritisch an. Sie bemängeln unter anderem, dass die Verwendung der gesammelten Daten nicht spezifiziert und die von der EU vorgeschriebene Datensparsamkeit nicht eingehalten werde.

Opt-in und Opt-out

Jedenfalls heißt es aus dem Ministerium auch, dass man die Stellungnahmen genau prüfen und mit Experten besprechen werde, allfällige Anpassungen des Gesetzes seien selbstverständlich möglich. Neben der NGO hatte naturgemäß auch die Opposition das Vorhaben scharf kritisiert.

Und auch ein anderes Thema ist nun in den Vordergrund gerückt: die Tatsache, dass Bürger sich nicht dagegen entscheiden können, dass ihre Daten verarbeitet werden ("Opt-out"). Hier heißt es aus dem Gesundheitsministerium, dass es langfristig eine Kombination von bevölkerungsweiten Opt-out- und Opt-in-Lösungen brauchen werde. Im Krisenfall brauche es jedoch "umfassende Datengrundlagen, weil man ohne diese im Blindflug unterwegs wäre und nicht einmal wüsste, wo die blinden Flecken genau sind". (Muzayen Al-Youssef, Irene Brickner, Stefan Mey, 19.5.2021)