Einreise-Anmeldung für Corona-Risikogebiete: fehlerhafte Datenschutzerklärung

Die Seite "einreiseanmeldung.de" überträgt Daten an den Geodatendienst "Here". Dies wird allerdings nicht in der Datenschutzerklärung aufgeführt. Auch fehlen dort Kontaktdaten. Die Pressestelle erklärt dazu auf Nachfrage von heise online: "Die Datenschutzerklärung wird gerade dahingehend überarbeitet, dass die Kontaktangaben vollständig sind und alle Subunternehmer der Bundesdruckerei dort aufgeführt werden."

Für Menschen, die aus einem Risikogebiet nach Deutschland einreisen, ist es Pflicht, sich in der Digitalen Einreiseanmeldung einzutragen. Dazu gehört auch, den Aufenthaltsort der ersten zehn Tage nach Einreise anzugeben. An dieser Stelle kommt "Here" ins Spiel. Über den Dienst werden Adressvorschläge gemacht, zugleich werden die Daten weitergeleitet, die man in das entsprechende Feld eingibt. Trägt man dort also etwa das Wort "Gustav" ein, bekommt man Vorschläge zu Straßennamen, die dazu passen. Solange wird auch nur der eingegebene Name "Gustav" als eine Art Suchbegriff übertragen. Wer jedoch seine komplette Adresse eingibt, statt die Auswahl zu nutzen, überträgt eben genau diese.

Schaut man sich die Datenschutzerklärung an, fällt nicht nur das Fehlen des Geodatendienstes als Auftragsverarbeiter auf, sondern auch, dass die Kontaktdaten unvollständig sind. Die E-Mail-Adresse des RKI lautet dort: "Presse", die des Datenschutzbeauftragten "Datenschutz". Da eine Telefonnummer angegeben ist, sollte dies nach DSGVO unproblematisch sein.

Schwache Sicherheit und Authentifizierung

Zugang zu den Daten haben auch die Bundesdruckerei, die als "Technologiepartner" geführt sind und die Deutsche Post E-Post Solutions. Die Gesundheitsämter, die mit den Informationen die Einhaltung der Quarantäne von Einreisenden kontrollieren sollen, sind noch nicht alle in der Lage, direkten Zugriff zu bekommen. Die Post dient als Zwischenhändler, solange die Verbindungen noch nicht geschaffen worden sind. Laut netzpolitik.org geschieht das ohne Ende-zu-Ende-Verschlüsselung.

Problematisch ist auch, dass es keine Authentifizierung bei der Anmeldung gibt. Es lassen sich die Daten von fiktiven oder anderen Menschen eintragen. Ist jemand fälschlicherweise eingetragen worden und gerät in eine Kontrolle, müsste ein solcher Vorfall aufgeklärt werden – was in der Regel durch die Abfrage der Ausweisnummer schnell gehen dürfte. Bei Eingabe falscher Daten droht ein Bußgeld.

[Update 12.11.2020 14.10 Uhr] Der Bundesdatenschutzbeauftragte bestätigt auf Nachfrage von heise online, dass die Problematik bekannt sei und er sich darum kümmert, jedoch noch keine abschließenden Ergebnisse vorliegen.

(emw)