03.04.2020 - Der EDÖB hat die Swisscom am 25. März 2020 gebeten, zum Zugang des Bundesamtes für Gesundheit (BAG) auf Daten der Swisscom Stellung zu nehmen. Nach Prüfung der von der Swisscom zur Verfügung gestellten Informationen kommt er zum Schluss, dass die Swisscom dem BAG ausschliesslich Zugang zu anonymisierten Daten gewährt. Der EDÖB hat die Swisscom aufgefordert, die Öffentlichkeit mit detaillierteren Informationen zum Datenbearbeitungsvorgang zu bedienen. Die Swisscom ist dieser Aufforderung nachgekommen und hat FAQs zu den fraglichen Datenbearbeitungen erstellt.
Zugang des BAG zu visualisierten Daten der Swisscom datenschutzrechtlich erlaubt
Die Swisscom bearbeitet mit der Mobility Insights Plattform (MIP) anonymisierte Gruppenstatistiken anhand aggregierter Mobilitätsdaten zur Auswertung von Mobilitätsverhalten auf dem Gebiet der Schweiz. Die dem Bundesamt für Gesundheit (BAG) mit einer mindesten 8-stündigen Verzögerung zugänglich gemachten visualisierten Auswertungen der Swisscom sollen dem Amt zum Zweck der Pandemiebekämpfung eine Übersicht darüber verschaffen, ob es in der Schweiz noch Ansammlungen von grösseren Gruppen gab. Die Visualisierungen zeigen den zeitlichen Verlauf der Aufenthalte von Handybesitzern in 100 mal 100 Meter grossen Gebieten, wenn mehr als 20 Mobilfunkgeräte von Abonnenten der Swisscom in einem solchen Gebiet vorhanden sind.
Der EDÖB hat die Swisscom am 25. März 2020 gebeten, zum Zugang des BAG auf Daten der Swisscom Stellung zu nehmen, was mit Schreiben vom 27. März 2020 und ergänzender Stellungnahme vom 2. April 2020 erfolgt ist. Nach Prüfung der von der Swisscom zur Verfügung gestellten Informationen und seinem Vorwissen aus Beratungen der Swisscom zu ähnlichen Sachverhalten kommt der EDÖB zu folgenden Erkenntnissen:
- Die Standortdaten werden technisch im frühestmöglichen Zeitpunkt pseudonymisiert (Hash) und in der Folge aggregiert.
- Organisatorische Massnahmen werden nicht beschrieben. Jedoch besteht aktuell kein Grund zur Annahme, dass offensichtliche Mängel bestehen, zumal es sich beim MIP um ein Produkt handelt, welches über mehrere Jahre betrieben wird.
- Die Swisscom macht dem BAG im MIP statistische und visualisierte Informationen zugänglich, nicht hingegen Klardaten oder pseudonymisierte Daten, die der Visualisierung im MIP zugrunde liegen.
- Die Ergebnisse (Visualisierung der aggregierten Standortdaten), auf welche die Swisscom das BAG zugreifen lässt, ist anonym.
Daraus folgt, dass die Swisscom dem BAG ausschliesslich Zugang zu anonymisierten Daten gewährt. Dementsprechend erachtet der EDÖB die Datenbearbeitung durch die Swisscom und die Weitergaben von anonymen Daten an das BAG datenschutzrechtlich als erlaubt.
Der EDÖB hat aufgrund der ihm zur Verfügung gestellten Unterlagen keine Veranlassung, daran zu zweifeln, dass sich die Swisscom an die in ihren Stellungnahmen vom 27. März und vom 2. April 2020 dargelegte Datenbearbeitung hält. Zwar sind bei ihm entgegenstehende Anzeigen eingegangen, die sich jedoch nicht erhärten liessen. Damit bestehen zurzeit keine Anhaltspunkte, die den EDÖB zur Eröffnung einer formellen Sachverhaltsabklärung nach Art. 29 DSG veranlassen müssten.
Der EDÖB war indessen der Auffassung, dass die der Öffentlichkeit zugänglichen Informationen zur Zusammenarbeit zwischen dem BAG und der Swisscom und den damit verbundenen Datenbearbeitungen spärlich und nicht ohne Weiteres auffindbar waren. Er hat die Swisscom daher dazu aufgefordert, die Öffentlichkeit mit detaillierteren Informationen zum Datenbearbeitungsvorgang zu bedienen. Die Swisscom ist dieser Aufforderung inzwischen nachgekommen und hat FAQs betreffend die Nutzung der Mobility Insights Plattform von Swisscom durch das Bundesamt für Gesundheit (BAG) erstellt.
Die Auswertung des EDÖB wird veröffentlicht.
Letzte Änderung 21.11.2023