Die Rettung der Impfdaten der früheren Plattform meineimpfungen.ch im Kanton Aargau ist teilweise gescheitert. Ein Teil der Daten ist für immer verloren.
Für jene Daten, die nicht verloren sein sollen, verzögert sich die Rettung bis mindestens März 2024. Die Rettung war zuletzt für Herbst 2023 angekündigt worden.
Die ehemaligen Nutzerinnen und Nutzer von meineimpfungen.ch erhalten weiterhin keinen Zugang zu ihren Impfdaten. Die neue Plattform zur Rettung der Daten, die der Kanton Aargau durch die parastaatliche Stammgemeinschaft eHealth Aargau (SteHAG) bauen lässt, kann frühestens im März 2024 an den Start gehen.
Das federführende Departement Gesundheit und Soziales (DGS) des Kantons Aargau informierte am 11. Dezember 2023 mit einer Medienmitteilung über den aktuellen Stand und die weiteren Pläne für die Rettung.
Das Rettungsprojekt werde, so das DGS, inzwischen vom Bundesamt für Gesundheit (BAG) und 23 Kantonen unterstützt. Die aktuellen Kosten werden nicht genannt, aber allein die direkten Kosten dürften inzwischen mehr als eine Million Franken betragen.
Ein Teil der Impfdaten sei, so das DGS, für immer verloren (mit Hervorhebung):
«Die Datenrückgabe an ehemalige Nutzerinnen und Nutzer des Angebots der Stiftung meineimpfungen.ch ist neu ab März 2024 geplant. Die Projektleitung hat in Absprache mit der kantonalen Datenschutzbeauftragten entschieden, nicht wiederherstellbare Datensätze zu löschen. Technisch ist die Lösung für die Datenrückgabe weit fortgeschritten.»
Welche Rolle spielen die Datenschutz-Aufsichtsbehörden?
Die Datenschutz-Aufsichtsbehörden – Mehrzahl! – sollen gemäss DGS für die erneute Verzögerung verantwortlich sein (mit Hervorhebung):
«Im Auftrag des Departements Gesundheit und Soziales des Kantons Aargau baut die Stammgemeinschaft eHealth Aargau die Plattform für die datenschutzkonforme Rückgabe oder Vernichtung der Impfdaten aus meineimpfungen.ch auf. Mit einem produktiven Betrieb kann frühestens ab März 2024 gerechnet werden. Im Januar und Februar 2024 finden Testing und Pilotphase statt. Weil die Klärungen mit den datenschutzrechtlichen Aufsichtsbehörden länger dauerten als vorgesehen, musste der Fahrplan angepasst werden.»
Da der Kanton Aargau nur über eine Datenschutz-Aufsichtsbehörde verfügt, ist naheliegend, dass der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) wieder oder immer noch beteiligt ist. «Lange Bearbeitungszeiten [beim] EDÖB» galten als Risiko für das Rettungsprojekt.
Verantwortliche in der Schweiz wissen nun jedenfalls, dass die Auskunftserteilung gegenüber betroffenen Personen für lange Zeit aufgeschoben oder sogar verweigert werden kann, wenn der Verantwortliche technisch nicht zur Auskunftserteilung in der Lage ist. Das gilt sogar, wenn ein Verantwortlicher – in diesem Fall der Kanton Aargau – diese Verantwortung geradezu gesucht hat.
Der EDÖB und die anderen beteiligten Behörden bei Bund und Kantonen setzen damit definitiv ein bemerkenswertes Präjudiz für das Auskunftsrecht gemäss Datenschutzgesetz (DSG) und kantonalem Datenschutzrecht. Der EDÖB hatte von der Stiftung meineimpfungen noch gefordert, die Auskunft sei «innert angemessener Frist» zu erteilen.
meineimpfungen.ch: So könnte die Rettung der Impfdaten funktionieren
Welche Daten sind verloren? Wie geht es weiter mit der Rettung der Impfdaten?
Wie viele Daten für immer verloren sind, erklärt der Kanton Aargau in seiner Medienmitteilung nicht.
Das DGS erwähnt einerseits «nicht wiederherstellbare Datensätze», die gelöscht werden, und nennt andererseits zwei weitere Kategorien von Daten, die verloren sind:
«Personen, deren Impfdaten durch Fachpersonen erfasst wurden, die aber selbst keinen Benutzeraccount eröffnet hatten, werden keinen Zugang zu den erfassten Daten haben. Diese Daten werden in Absprache mit der Datenschutzbehörde gelöscht.»
Und:
«Ebenfalls nicht Gegenstand der Wiederherstellung sind Daten, die im Rahmen der Covid-19-Pandemie automatisiert und dabei teilweise systematisch falsch erfasst wurden. Diese Daten werden identifiziert und ebenfalls vor dem produktiven Betrieb der Plattform vernichtet.»
Auf der neuen Plattform haben jene betroffenen Personen, die Zugang zu ihren Impfdaten erhalten, drei Möglichkeiten:
- Herunterladen der Daten für die eigene Ablage
- Hochladen der Daten in ein elektronisches Patientendossier (EPD)
- Vernichtung der Daten
Die Rettung der Impfdaten soll ausschliesslich mit schweizerischer Infrastruktur stattfinden:
«Alle Daten werden ausschliesslich in der Schweiz und nach Schweizer Recht bearbeitet. Es findet keine Auslagerung von Diensten ins Ausland oder zu ausländisch beherrschten Konzernen statt.»
Der Verzicht auf digitale Infrastruktur im Ausland ist für den Kanton Aargau ungewöhnlich. So verwendet selbst die Beauftragte für Öffentlichkeit und Datenschutz (ÖDB), die aargauische Datenschutz-Aufsichtsbehörde, auf ihrer Website die Google-Dienste Analytics, reCAPTCHA und Tag Manager.
Der Versuch, die Impfdaten der früheren Plattform meineimpfungen.ch zu retten, geht einmal mehr in eine weitere Runde. Dabei wäre die Rettung bereits im Herbst 2021 möglich gewesen, wenn das BAG damals die finanzielle Unterstützung der Stiftung meineimpfungen nicht eingestellt hätte.
Siehe auch:
- meineimpfungen.ch: Was wurde aus den Impfdaten?
- meineimpfungen.ch: Was steht in der geheimen Vereinbarung mit dem Kanton Aargau?
- meineimpfungen.ch: Gelingt doch noch die Rettung der Daten?
Nachtrag: Welche Datenschutz-Aufsichtsbehörden sind beteiligt?
Die Frage nach den beteiligten Datenschutz-Aufsichtsbehörden beantwortete das Departement Gesundheit und Soziales des Kantons Aargau auf Anfrage wie folgt:
«In erster Linie handelt es sich um die Beauftragte für Öffentlichkeit und Datenschutz im Kanton Aargau. Sie stand aber punktuell in Absprache mit dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten. »
Nachtrag II: Kein Zugang zu Impfdaten bis und mit Ende März 2024
Der angekündigte Zugang für die ehemaligen Nutzerinnen und Nutzer von meineimpfungen.ch ist im März 2024 nicht gestartet.
Die Website der Stammgemeinschaft eHealth Aargau (SteHAG) für das Rettungsprojekt wurde bis und mit 1. April 2024 gegenüber der Veröffentlichung der Medienmitteilung vom 11. Dezember 2023 nicht angepasst. Ich gehe davon aus, dass der Kanton Aargau nach Ostern über einen neuen Zeithorizont informieren wird.
Bilder: OpenAI / ChatGPT 4.