Datenschutz bei Testzentren wirft Fragen auf

Wer einen Schnelltest bucht, muss dafür einige Daten angeben. Die meisten Testzentren fragen bei der Registrierung Name, Adresse, Telefonnummer, E-Mail-Adresse und oft sogar die Ausweisnummer ab. Doch ein Blick auf die Datenschutzerklärungen mehrerer Testzentren in der Region wirft Fragen auf. "Wer verarbeitet die Daten? Wie lange werden die Daten aufbewahrt? Solche Angaben fehlen bei vielen Anbietern", sagt Sirus Paidar, Datenschutzexperte und Geschäftsführer des Öhringer Systemhauses Squidmedia.

Paidar fallen etwa die Schnelltestzentren Brettachtal und Kupferzell auf. Deren Datenschutzerklärung gibt zum Zeitpunkt der Recherche keine Auskunft darüber, auf welcher Rechtsgrundlage die Daten erhoben werden, welche Drittanbieter Daten empfangen oder wie lange sie aufbewahrt werden. "Die gesamte Form passt hinten und vorne nicht", meint Paidar. Die Datenschutzgrundverordnung der EU schreibe vor, welche Angaben gemacht werden müssen.

Für Gesundheitsdaten gelten strengere Vorgaben

Dazu kommt: Für Testzentren gelten strengere Vorgaben, denn sie arbeiten mit Gesundheitsdaten. Die Information, ob jemand positiv oder negativ auf das Coronavirus getestet ist, zählt dazu. Solche sensiblen Informationen zu verarbeiten, ist nur in Ausnahmefällen und nur mit ausdrücklicher Zustimmung der Betroffenen erlaubt.

Verwenden Testzentren einen externen Dienst für die Abwicklung der Terminbuchung oder die Übermittlung des Ergebnisses, müssen Betroffene "für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt" haben, erklärt Cagdas Karakurt, Sprecher des baden-württembergischen Datenschutzbeauftragten Stefan Brink.

Interner Fehler sorgt für unvollständige Datenschutzerklärung

Doch warum ist bei den Testzentren Brettachtal und Kupferzell davon nichts zu lesen, obwohl der externe Dienst "eTermin" eingesetzt wird? "Wir selbst haben keine Daten", stellt Betreiber Ingo Eckert klar. Er ist Geschäftsführer der Little Pinguin Management IDE UG und betreibt noch weitere Testzentren in der Region.

Man habe sich entschieden, mit einem professionellen Anbieter wie "eTermin" zusammenzuarbeiten. Die Daten für die Terminbuchung würden nach 72 Stunden gelöscht, sagt Eckert. Das Testergebnis selbst werde zudem nicht mit den personenbezogenen Daten verknüpft, sondern einem Pseudonym zugeordnet. Somit könnten nur das Labor und der Betroffene das Ergebnis einsehen.

Die Datenschutzerklärung sei aufgrund eines internen Fehlers unvollständig gewesen. Inzwischen seien alle Informationen nachgetragen. "Das größte Risiko ist und bleiben Testzentren, in denen Sie Ihr Testergebnis per Whatsapp oder E-Mail bekommen", meint Eckert.

Daten von der Schufa für einen Schnelltest?

Auch einzelne Apotheken und Hausarztpraxen fallen Sirus Paidar auf. Sie verwenden für die Buchung eines Schnelltests den Dienst "Terminland". In den Datenschutzhinweisen heißt es unter anderem, dass Daten über Testwillige auch von Unternehmen wie der Schufa, aus Schuldnerverzeichnissen oder aus den Medien gesammelt werden würden - laut Paidar Angaben, die mit einem Schnelltest nichts zu tun haben. "Hier wurde irgendetwas abgekupfert, ohne dass verstanden wurde, worum es eigentlich geht." Auch die sogenannte "Interessenabwägung", mit der Daten auch ohne Zustimmung der Betroffenen gesammelt werden können, sei für Gesundheitsdaten nicht erlaubt.

Eine Ärztin, die Termine für Schnelltests über Terminland anbietet, reagiert auf Nachfrage unserer Redaktion verärgert: "Ich bin keine Datenschutzexpertin, ich bin Hausärztin. Und ich habe Patienten zu versorgen." Wer einen Test buchen wolle, stimme dem ausdrücklich zu. "Wir selbst haben gar keine Daten." Es sei ihr lieber, künftig keine Tests mehr anzubieten, wenn solche Formalien Probleme bereiten könnten.

Der Anbieter Terminland erklärt auf Anfrage, man habe selbst keinen Zugriff auf die Daten von Terminbuchungen. Eine Vorlage für die Datenschutzhinweise biete man aus Kulanz an, erklärt Claudia Wendt. "Die Praxen können diese dann selbst anpassen." Das müsse im Einzelfall geschehen, die Vorlage sei allgemein gehalten. "Wir haben Kunden vom Kosmetikstudio bis zur Anwaltskanzlei."

Viele Probleme mit Testzentren

Was bleibt von alledem? Datenschutzexperte Sirus Paidar räumt ein, dass manche Kritik zu sehr ins Detail geht. Aber es gehe eben nicht darum, eine Pizza zu bestellen. "Hier geht es um Gesundheitsdaten. Und die Anforderungen dafür sind hoch."

Das bestätigt auch Cagdas Karakurt: "Insbesondere bei der Datensicherheit und der Übermittlung von Testergebnissen haben wir teilweise massive Mängel bei Testzentren festgestellt. Teilweise waren Tausende unverschlüsselte Testergebnisse offen im Internet einsehbar." Über häufige Fehler kläre man daher auf der Webseite des Datenschutzbeauftragten auf und biete Leitfäden an. Bei Verstößen müsse immer der Einzelfall betrachtet und die Verhältnismäßigkeit geachtet werden.

In den vergangenen Wochen wurden immer wieder Fälle bekannt, in denen sensible Daten von Testzentren offen im Internet einsehbar waren, zuletzt bei zwei Testzentren des ASB in Bayern. Name, Wohnort und Handynummer von 1600 Menschen waren zugänglich.

Baden-Württembergs Datenschutzbeauftragter Stefan Brink kritisierte, dass Ergebnisse zudem oft unverschlüsselt per E-Mail verschickt werden. Es sei nur schwer möglich, Testzentren zu kontrollieren, weil es keine Übersicht gebe, wo sie betrieben werden.

Vergütung fürs Tests sinkt

Dazu kommt: Aus Datenschutzgründen müssen Testzentren nur die Anzahl durchgeführter Tests bei der Abrechnung übermitteln. Der Bund vergütet jeden Test mit 18 Euro. Mehrere Medien deckten Fälle von Abrechnungsbetrug auf. Das Kabinett hat am Mittwoch strengere Kontrollvorgaben beschlossen. Private Testzentren sollen nur noch nach einer Einzelfallprüfung zugelassen werden. Künftig werden Tests zudem nur noch mit 8 Euro und Sachkosten mit 3,50 Euro vergütet.