Die Daten der Nutzer:innen der Plattform meineimpfungen.ch wurden im Juni 2022 auf Grundlage einer bislang geheimen Vereinbarung vom Kanton Aargau übernommen. Nun konnte ich das die Vereinbarung mit Verweis auf das Öffentlichkeitsprinzip beim Bundesamt für Gesundheit (BAG) beschaffen.
Die Vereinbarung stammt vom 16. Juni 2022 und trägt den sperrigen Titel «Vereinbarung betreffend vorübergehende Übernahme und datenschutzkonforme Aufbewahrung der digitalen Impfdaten aus der Konkursmasse der Stiftung www.meineimpfungen.ch».
Parteien sind der Kanton Aargau (Departement Gesundheit und Soziales), die Stammgemeinschaft eHealth Aargau und das Konkursamt Bern-Mittelland als Vertreterin der Konkursmasse der Stiftung meineimpfungen.
Die Impfdaten von meineimpfungen.ch wurden durch das Konkursamt «auf einer Harddisk und auf kostenpflichtigen Servern gelagert».
Mit Inkrafttreten der Vereinbarung erhielt der Kanton Aargau vom Konkursamt die Daten «mittels persönlicher Übergabe der Harddisk und der Serverzugänge (inkl. Passwörter; soweit beim Konkursamt überhaupt vorhanden)».
Der Kanton Aargau wiederum übergab der Stammgemeinschaft eHealth Aargau die Daten als «datenschutzrechtliche zertifizierte Aufbewahrerin» aufgrund einer Leistungsvereinbarung. Diese Leistungsvereinbarung wurde vom Kanton Aargau bislang nicht veröffentlicht.
Auch übergeben wurde der Domainname meineimpfungen.ch. Momentan ist keine Website unter diesem Domainnamen abrufbar. Weitere Domainnamen der Stiftung meineimpfungen wie beispielsweise mesvaccines.ch werden in der Vereinbarung nicht erwähnt.
Impfdaten: Fachgerechte Vernichtung oder Überführung in ein elektronisches Patientendossier?
Die Übernahme der Impfdaten sollte «vorübergehend und treuhänderisch» erfolgen, und zwar um die Datenschutzrechte der betroffenen Personen zu wahren bei gleichzeitiger datenschutzkonformer Aufbewahrung.
Die Parteien behaupten, zur Wahrung der Rechte könne gehören, dass die «Daten in einem weiteren Schritt in ein elektronisches Patientendossier überführt werden, soweit ein datenschutzkonformer Weg gefunden wird».
In einem gemeinsamen Vorprojekt von Kanton Aargau und der Stammgemeinschaft eHealth Aargau sollte gemeinsam mit dem BAG eine «Überprüfung der Integrität und weiteren Verwendbarkeit der digitalen Impfdaten» erfolgen und den betroffenen Personen die «Wahrung der Datenschutzrechte» ermöglicht werden. Sollte eine Datenrettung nicht möglich sein, wäre die Stammgemeinschaft eHealth Aargau für eine «fachgerechte Vernichtung der Daten verantwortlich».
In der Vereinbarung geben sich die Parteien das Recht, während dem Vorprojekt keine Auskunfts- und Löschbegehren zu bearbeiten.
Wie der Kanton Aargau und die weiteren Parteien zur Auffassung gelangten, den betroffenen Personen diese grundlegenden Rechte verweigern zu dürfen, wird nicht erklärt.
Gemäss Vereinbarung wäre die Stammgemeinschaft eHealth Aargau verpflichtet, Weisungen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und der Beauftragten für Öffentlichkeit und Datenschutz des Kantons Aargau zu folgen.
Ob es Weisungen gab, insbesondere im Zusammenhang mit den auf unbestimmte Zeit ausgesetzten Rechten der betroffenen Personen, ist nicht bekannt. Aus einer Dokumentenliste, die das BAG auf meine Anfrage ebenfalls hin lieferte, geht hervor, dass der EDÖB am 6. Dezember 2022 eine Stellungnahme mit bislang unbekanntem Inhalt abgegeben hatte.
eHealth Aargau: Privater Verein und öffentliches Organ im Kanton Aargau?
Die Parteien erklären, der Kanton Aargau und die Stammgemeinschaft eHealth Aargau, eigentlich ein privater Verein, erfüllten öffentliche Aufgaben und unterstünden deshalb als öffentliche Organe direkt dem Gesetz über die Information der Öffentlichkeit, den Datenschutz und das Archivwesen (IDAG). Mit dem IDAG verfügen betroffene Personen über wesentlich weniger rechtliche Möglichkeiten im Vergleich zum Bundesgesetz über den Datenschutz (DSG). Für den EDÖB wäre die Angelegenheit definitiv erledigt.
Auf welcher Rechtsgrundlage gemäss § 8 Abs. 2 IDAG die Bearbeitung der Daten erfolgt, wird nicht erwähnt.
Die drei möglichen Rechtsgrundlagen scheinen auf den ersten Blick nicht erfüllt zu sein. Die betroffenen Personen haben nicht eingewilligt, es geht nicht um die «Erfüllung einer klar umbeschriebenen gesetzlichen Aufgabe» und eine «gesetzliche Grundlage» im Kanton Aargau ist nicht ersichtlich.
Vorprojekt: Subventionen für die Stammgemeinschaft eHealth Aargau
Gemäss der erwähnten Dokumentenliste ersuchte die Stammgemeinschaft eHealth Aargau, gemäss Vereinbarung wie erwähnt ein öffentliches Organ im Kanton Aargau, am 7. September 2022 das BAG um Subventionen. Am 28. September 2022 erliess das BAG eine entsprechende Finanzhilfeverfügung.
Ebenfalls gemäss Dokumentenliste tagte ein Projektausschuss in unbekannter Zusammensetzung mindestens drei Mal und für die Datenanalyse wurde eine «IT-Firma» beauftragt. Die Resultate lagen am 15. November 2022 vor.
Weiter zeigt die Dokumentenliste, dass am 14. Dezember 2022 von der Stammgemeinschaft eHealth Aargau eine Kostenzusammenstellung für das Hauptprojekt vorgelegt wurde, auch mit einer Offerte der «IT-Firma». Am 21. Dezember 2022 schliesslich erfolgte die Projektschlussbeurteilung für das Vorprojekt «Rückgabe der Daten meineimpfungen» der Stammgemeinschaft eHealth Aargau.
Gemäss der BAG-eigenen Seite «Elektronischer Impfausweis» mit Stand vom 16. Januar 2023 (Sicherheitskopie) läuft das Vorprojekt noch.
Gemäss Medienauskunft der Stammgemeinschaft eHealth Aargau vom 17. Januar 2023 wird das «Vorprojekt aktuell abgeschlossen».
In der Aargauer Zeitung vom 29. Januar 2023 erklärte das Aargauer Gesundheitsdepartement, das «strukturierte und breit abgestützte Vorprojekt» stehe «kurz vor dem Abschluss». Auf die Frage, ob «Staatsgelder für die Rettung der Daten eingesetzt» worden seien, gab das Departement die ausweichende und überspezifische Antwort, es seien «keine Gelder des Kantons eingesetzt» worden.
Bei diesem aktuellen Stand müsste jeden Tag mit öffentlicher Kommunikation zum Erfolg des Vorprojektes zu rechnen sein.
Die eingeholte Offerte für ein Hauptprojekt deutet darauf hin, dass man im Kanton Aargau von einem Erfolg ausgeht. Die «Finanzierung des Hauptprojektes sei Gegenstand von Verhandlungen», so der Kanton Aargau gegenüber der Aargauer Zeitung.
Siehe auch: meineimpfungen.ch: Was wurde aus den Impfdaten?
Bild: Pixabay / moshehar, Pixabay-Lizenz.