Datenschützer über Impfen: „Kein pauschales Register“
Österreich hat ein Impfregister, in Deutschland wird darüber diskutiert. Der Datenschützer Thomas Lohninger über Risiken und die Vertrauensfrage in der Gesellschaft.
taz am wochenende: Herr Lohninger, in Deutschland wird gerade über die Notwendigkeit eines Impfregisters diskutiert, Österreich hat schon eines. Was kann Deutschland von Österreich lernen?
Thomas Lohninger: Ich glaube, dass man von Österreich eher lernen sollte, wie man es nicht macht. Das hat mehrere Gründe: Erstens ist das Impfregister hier an die elektronische Gesundheitsakte angedockt. Bei der Gesundheitsakte kann man widersprechen, wenn man nicht mitmachen möchte, was auch absolut richtig so ist – aber im Impfregister landen die eigenen Daten trotzdem. Das verwirrt viele Menschen. Jetzt kann man natürlich in einer Pandemie argumentieren, dass so ein Register notwendig ist, um diese Pandemie zu bekämpfen. Aber da kommt der zweite Kritikpunkt dazu: Es werden auch Daten zu Impfungen gespeichert, die keine Auswirkungen auf Ansteckungsgefahren haben, wo es also ausschließlich um die Selbstgefährdung geht.
Tetanus zum Beispiel.
Genau. Oder jede Zeckenimpfung. Wenn das Argument für so ein Register ist, dass man es zur Pandemiebekämpfung braucht, dann sind so umfassende Daten nicht nötig. Außerdem gibt es etwas, das man bei Datensammlungen generell, aber ganz besonders wenn es um derart Sensibles wie Gesundheitsdaten geht, immer überlegen muss, nämlich: Muss ich das wirklich personenbezogen machen? Oder will ich eigentlich nur eine Statistik?
Sie meinen, ob es tatsächlich darum geht, wer geimpft wurde oder nur um die Zahl der Geimpften?
Genau. In Österreich haben wir seit neuestem eine Impfpflicht, das Register soll da zur Kontrolle dienen. Aber wenn es nur darum geht, beispielsweise die Impfstofflogistik zu planen, dann muss man ja nicht wissen, wer geimpft ist, sondern nur, wie viele Menschen, vielleicht noch nach Region. Auf das Speichern persönlicher Daten kann und sollte man daher verzichten.
Was müsste also die Bundesregierung hierzulande gegebenenfalls besser machen?
Ich tue mich da sehr schwer einen Vorschlag zu machen, denn als Datenschützer bin ich nicht überzeugt davon, dass es so ein Register braucht. Ich finde, wenn eine Regierung sagt, ja, das muss sein, dann ist es ihre Aufgabe, einen Vorschlag zu machen, der so minimal wie möglich in die Privatsphäre der Menschen eingreift. Öffentliche Gesundheit ist sicher ein Ziel, mit dem sich viel rechtfertigen lässt und die Datenschutz-Grundverordnung gibt da auch entsprechende Spielräume. Aber man muss schon einmal gründlich nachdenken. Und zwar vorher.
Welche Möglichkeiten gibt es denn, den Eingriff gering zu halten?
Zunächst mal sollte es kein pauschales Register sein. Es sollte also nicht alle Impfungen umfassen, sondern nur so wenige wie unbedingt nötig. Das ist der Grundsatz der Datensparsamkeit, den wir auch aus anderen Bereichen kennen. Dann könnte man auch über eine zeitliche Befristung nachdenken. Diese Pandemie wird ja hoffentlich irgendwann vorbei sein und wir müssen schauen, dass wir dann wieder auf den Stand von vorher kommen.
Warum ist das so wichtig?
Das klingt so umständlich, ist aber zentral, um schon vorab zu klären, wie tief der Grundrechtseingriff wird, welche Risiken es gibt. Die Datenschutz-Grundverordnung schreibt so eine Folgenabschätzung sogar vor, in der Praxis wird sie trotzdem gerne einfach nicht gemacht oder erst so spät, dass alle Fakten schon geschaffen sind. Aber wir sprechen ja in der Pandemie gerade ganz viel über Vertrauen und gute Kommunikation. Und so eine Datenschutz-Folgenabschätzung, die dann auch veröffentlicht wird, würde das Vertrauen in den Prozess und das Ergebnis deutlich stärken.
In Deutschland gibt es bislang kein zentrales Melderegister, die entsprechenden Daten werden dezentral erfasst. Mit einem zentralen Impfregister würde sich das ändern. Welche Risiken sehen Sie dabei?
Zunächst einmal birgt ein solches Register, ganz gleich wie es gestaltet ist, immer Missbrauchspotenzial bei allen zugriffsberechtigten Stellen. Die Zugriffsmöglichkeiten auf die Meldedaten sind ja in Deutschland durch die dezentrale Speicherung begrenzt und hier ist der Föderalismus mal ein echter Vorteil. Doch wenn neue Daten aggregiert werden oder Sammlungen erstellt, dann weckt das auch immer neue Begehrlichkeiten. Strafverfolger:innen beispielsweise könnten hier ein großes Interesse daran haben. Aber die Daten könnten auch mit denen von anderen Behörden zusammengeführt werden. Und natürlich birgt ein zentrales Register ein immenses Risiko für Angriffe von außen.
Ließen sich solche Gefahren nicht abfedern, etwa dadurch, dass die Daten nicht im Klartext gespeichert werden, sondern gehasht, also in Form einer kryptografischen Prüfsumme? Dann würden Angreifer:innen ins Leere laufen.
Kryptografische Verfahren würden sicher helfen in Sachen Datensicherheit, ja. Aber missbräuchliche Abfragen von zugriffsberechtigten Personen könnten sie nicht ausräumen, ebenso wenig wie das Zusammenführen mit Daten von anderen Stellen.
Kommt es zu einer Impfpflicht, sind hierzulande neben einem zentralen Register auch andere Überprüfungswege in der Diskussion: Etwa könnten die Arbeitgeber befugt werden, bei Selbstständigen die Gewerbe- oder Gesundheitsämter. Was sagen Sie zu solchen Ideen?
Eine Überprüfung seitens der Arbeitgeber halte ich für sehr problematisch. Nicht umsonst bekommen die beispielsweise keine Informationen darüber, warum ein:e Arbeitnehmer:in krankgeschrieben ist. Davon ist man in der Pandemie einen großen Schritt abgerückt – zumindest in Österreich dürfen Arbeitgeber den Impfstatus abfragen. Begründet wurde das mit dem Schutz von anderen Mitarbeitenden. Gut möglich, dass das gerechtfertigt war, aber auch hier gilt: Wichtig ist, dass wir diese Schritte nach der Pandemie wieder rückgängig machen und nicht dauerhaft die Grundrechte aushöhlen.
In skandinavischen Ländern, in denen Impfregister und elektronische Patientenakten gängig sind, schaut man bei diesen Debatten häufig etwas verwundert auf den deutschsprachigen Raum.
Zunächst einmal: Auch in Dänemark etwa gibt es deutliche Kritik an der zentralisierten Speicherung von Gesundheitsdaten und auch an der Forschung mit Informationen aus diesen Datenbanken. Es ist also nicht so, dass in Ländern, die so etwas schon haben, alles unwidersprochen hingenommen wird. Aber grundsätzlich gilt: Datenschutz und Privatsphäre sind kulturspezifische Konzepte. Jede Kultur hat sie, aber überall sind sie unterschiedlich. Genauso wie etwa die Abstände, die man instinktiv zu anderen Personen einhält, kulturell unterschiedlich sind. Da muss nicht das eine besser oder richtig und das andere schlechter oder falsch sein, es geht hier einfach um unterschiedliche gesellschaftliche Konsense, Vereinbarungen und Rechtstraditionen. Und die lassen sich nicht einfach so überstülpen.
Links lesen, Rechts bekämpfen
Gerade jetzt, wo der Rechtsextremismus weiter erstarkt, braucht es Zusammenhalt und Solidarität. Auch und vor allem mit den Menschen, die sich vor Ort für eine starke Zivilgesellschaft einsetzen. Die taz kooperiert deshalb mit Polylux. Das Netzwerk engagiert sich seit 2018 gegen den Rechtsruck in Ostdeutschland und unterstützt Projekte, die sich für Demokratie und Toleranz einsetzen. Eine offene Gesellschaft braucht guten, frei zugänglichen Journalismus – und zivilgesellschaftliches Engagement. Finden Sie auch? Dann machen Sie mit und unterstützen Sie unsere Aktion. Noch bis zum 31. Oktober gehen 50 Prozent aller Einnahmen aus den Anmeldungen bei taz zahl ich an das Netzwerk gegen Rechts. In Zeiten wie diesen brauchen alle, die für eine offene Gesellschaft eintreten, unsere Unterstützung. Sind Sie dabei? Jetzt unterstützen
meistkommentiert
BSW in Thüringen
Das hat Erpresserpotenzial
Friedenspreis für Anne Applebaum
Für den Frieden, aber nicht bedingungslos
BSW in Sachsen und Thüringen
Wagenknecht grätscht Landesverbänden rein
Rückkehr zur Atomkraft
Italien will erstes AKW seit 40 Jahren bauen
Klimaschädliche Dienstwagen
Andersrum umverteilen
Tech-Investor Peter Thiel
Der Auszug der Milliardäre aus der Verantwortung