Vor einem Jahr haben wir gemeinsam mit unserem Gast Dr. Malte Engeler über die Corona-Warn-App des Robert-Koch-Instituts gesprochen und die Absicht einer zentralen Datenspeicherung kritisiert.
Die Corona-Warn-App ist dann erfreulicherweise wie von Datenschützern gewünscht erschienen (was jedoch eher Google und Apple zu verdanken ist). Doch sie bietet bisher (was sich bald ändern soll) keine Möglichkeit sogenannte Risiko-Cluster (z.B. eine Gaststätte oder eine Musikveranstaltung) zu erkennen und deren Teilnehmer über ein potenzielles Infektionsrisiko zu informieren.
Diese Funktionen verspricht die Luca-App, welche von einem Berliner Start-Up entwickelt und von dem (an dem Start-Up mittelbar beteiligten) Musiker Smudo öffentlich angepriesen wird.
Dabei hat die Luca-App so viel Erfolg, dass bereits zwölf Bundesländer Lizenzen zu ihrer Nutzung erworben haben und auf die Steuerzahler am Ende Kosten von insgesamt ca. 10 Millionen Euro zukommen werden.
![Unser Gast, Dr. Malte Engeler](https://rechtsbelehrung.com/wp-content/uploads/2017/07/Dr-Malte-Engeler-Rechtsbelehrung-400x400-1.jpg)
Doch zugleich kommt Kritik vor allem von den Seiten der IT-Entwickler und der Datenschützer. Denn so wie es aussieht, verstößt Luca App gegen Sicherheitskonventionen, was angesichts ihrer angestrebten Verbreitung und der Verarbeitung von Gesundheitsdaten mehr als fragwürdig ist.
Welche Datenschutzmängel Luca unterstellt werden müssen und warum die Datenschutzbehörden in diesem Fall als Schutzinstanz versagt haben, erklärt Dr. Malte Engeler ebenso präzise wie fundiert in der aktuellen Folge.
Viel Vergnügen beim Zuhören und erneut ein großes Dankeschön an Dr. Engeler für den Besuch!
Kapitel
- 00:00:00 – Vorstellung des Themas und unseres Gastes.
- 00:05:00 – Was macht Luca App anders als die Corona-Warn-App und was ist an ihr auszusetzen?
- 00:25:00 – Wie Luca App die Deutschen disziplinieren könnte.
- 00:30:00 – Was sagen die Datenschutzbehörden und ist eine fehlende Datenschutz-Folgenabschätzung nicht ohnehin ein KO-Kriterium?
- 00:40:00 – Zählt der Schein bei der Geldervergabe mehr als die Wirkung?
- 00:46:00 – Haben die zuständigen Datenschutzaufsichtsbehörden versagt?
- 00:56:00 – Offenheit des Quellcodes und Urheberrechtsverstöße (gegen die GPL-Lizenz).
- 01:10:00 – Können die Länder von den Verträgen zurücktreten?
- 00:16:00 – Jan Böhmermann und Unzuverlässigkeit des QR-Code-Verfahrens.
- 01:20:00 – Ausblick auf die nächste Folge zum Thema „Tesla, Dashcams und Videoüberwachung“.
Weiterführende Links
- Digitale Gästelisten Das zentrale Problem von Luca bei Netzpolitik.org.
- „Einfach grottig“ – dieser Trick entlarvt den fatalen Fehler der Luca-App bei Welt.de.
- Die Luca-App: Dilettantisch und sinnlos bei Telepolis.
- „Marketing, Druck und zweifelhafte Vergabeverfahren stehen hinter dem Erfolg“ – Thread von Journalistin Eva Wolfangel.
- „Magisches Denken“ Logbuch:Netzpolitik Spezial zur Luca-App und der Corona-Warn-App – Podcast mit Linus Neumann, Tim Pritlove und Eva Wolfangel.
- Wie man selbst QR-Codes generieren kann – Thread von Allen Reynolds.
- Alles nur geklaut? So entstand die Anti-Corona-App „Luca“ bei Welt.de.
- Weniger Datenschutz hilft auch nicht gegen Covid-19 vom Bundesdatenschutzbeauftragten Ulrich Kelber bei Spiegel.de.
- Warum die Cluster-Erkennung der Corona-App wenig bringt bei Golem.de.
- Corona-Warn-App soll nach Ostern ein Check-in-System bekommen bei Spiegel.de.
- Gastronomie in Berlin: Bezirk Mitte will Restaurants wieder öffnen bei der Berliner Zeitung.
- Sündenbock Datenschutz: „Das ist etwas, wo der Datenschutz eine Rolle spielt” von Prof. Nico Härting bei CR-Online.
- Corona-Warn-App: Stört der Datenschutz? von Henning Tillmann.
- Luca App Source Code Audit IV: Die Sache mit dem geklautem Source Code von Patrick Ahlbrecht.
Fehler: Statt 00:16:00 ist 01:16:00 korrekt
Hallöchen… ein kleienr Fehler ist Herrn Dr Schwenke bei ca. 1:05 unterlaufen. Er sagt, dass der Entwickler aus Österreich der raubkopierten Komponente seinen Code unter der GPL Lizenz hätte. Das stimmt nicht, es war eine BSD-Lizenz. Das ist eine noch schwächere Lizenz als GPL zu der schon viel dazugehört , um dagegen verstoßen zu können. Luca hat es geschafft…
By the way: Als PinePhone Nutzer mit einem Mobian Linux Betriebsystem auf meinem Smartphone bin ich vom gesellschaftlichen Leben in 12 Bundesländern demnach ausgeschlossen.
Danke sehr, ich habe dazu den folgenden Link ergänzt: https://raccoon.onyxbits.de/de/blog/luca-app-source-code-geklaut/
Hallo allerseits,
ich denke nicht, dass man die Privatperson vom Richteramt so einfach trennen kann. Einfach zu sagen, dass man etwas als Privatperson sagt und nicht als Richter ist doch nicht ausreichend. Man hat dann trotzdem eine Meinung, die einen auch bei der Rechtsfindung beeinflussen wird, was ja auch ok ist. Man sollte nur nicht so tun, als ob es anders möglich wäre.
Übrigens… Datenschutzkonform geht die Welt zu Grunde. Wir wollen wie Pandemie bekämpfen, aber dann muss die Impfreihenfolge eingehalten werden und niemand soll wissen wer wo und wann gewesen ist.
Die Geschichte mit Jan Böhmermann und dem Zoo Osnabrück ist meiner Ansicht nach zu sehr unter den Tisch gekehrt worden. Der Mißbrauch von QR-Codes gehört in die (fehlende) Datenschutzfolgeabschätzung, weil damit der Nutzen der App In Frage gestellt wird.
Vielen Dank für diesen Podcast, bisher hatte ich aus meiner eigenen Twitterblase schon einige Punkte mitbekommen (vielen Dank an dieser Stelle auch an Dr. Malte Engeler Engagement) und freue mich noch mehr darüber, dass ihr auch vertiefende Informationen unter „Weiterführende Links“ abgelegt habt.
Interessant empfand ich noch den Twitter Thread https://twitter.com/annalist/status/1380245068309729287 über die Notwendigkeit der Offenlegung der DSFA bzw. dass diese wohl mittlerweile vorhanden ist.
In jeden Fall Danke für eure Aufklärungsarbeit gerade da so auf euch verwiesen werden kann, wenn die eigene Umgebung mehr den vermeintlich Nutzen als Bedenken sieht :-).
Nun bin ich aber auf die Auslegungssache gespannt wo sich LfDI Stefan Brink auch noch einmal die Empfehlung der LucaApp verteidigt und darauf hinweist, dass es eine DSFA, gibt, die jedoch nicht veröffentlicht sei (ab Minute 46).
Viele Grüße und Danke, dass ihr so schnell das Thema aufgegriffen habt und noch einen erfolgreichen Nachmittag.
Wie passend, dass ich euren Podcast direkt nach der Auslegungssache von heute höre. https://heise.de/-6007278 Da war der von Thomas erwähnte Datenschutzbeauftragte von Baden-Würtemberg Dr. Stefan Brink zu Gast. Sie haben auch über die Luca-App geredet. Der sagte, dass es seit Januar eine Datenschutzfolgenabschätzung geben würde, sie aber nicht veröffentlicht wurde, weil nur staatliche Stellen veröffentlichen müssen, private aber nicht.
S. Kommentar weiter unten: https://rechtsbelehrung.com/luca-app-rechtsbelehrung-90/#comment-1873
Ich nehme aus eurer Sendung vor allem mit, dass die LucaApp ein paar handwerkliche Fehler enthält. (Ihr werdet jetzt sagen, dass das ein Euphemismus ist.) Diese lassen sich aber alle (leicht) beheben, ohne dass die grundsätzliche Funktion eingeschränkt ist?
(Ich bin überhaupt kein Fan der App.)
Lieber Marcus,
in dieser Folge hat man es besonders gemerkt, aber sonst auch:
Bitte gib‘ der Sendung etwas mehr Struktur und fang‘ die Juristen (sowohl Thomas als auch Gäste) etwas mehr ein.
Ihr kommt so oft von Hölzchen auf Stöckchen, dass es wirklich schwierig ist, der juristischen Argumentation zu folgen.
(No offense, Thomas. =) )
Kein Problem und danke für den Hinweis, aber dieser Aufbau gefällt den meisten Hörerinnen. Sachlich trockene, aber stringente Sendungen schrecken eher ab. Mir ist klar, dass die Balance zwischen Unterhaltung und juristischer Sachlichkeit nicht einfach zu finden ist. Aber wir geben uns weiterhin Mühe. 😀
Skandal-Hascherei ohne andere Meinungen auch nur im Ansatz verstehen zu wollen. Schaut euch doch mal an wie viele Menschen andere Menschen durch die cwa warnen und wie viele Menschen sich täglich infizieren. So sieht es mit der Freiwilligkeit der ach so mündigen Bürger aus. Der Weg über Gesundheitsämter ist notwendig und vielleicht nach einem Jahr etwas was uns weiter bringt.
Ich denke, wir haben auch andere Meinungen angesprochen. Insbesondere auch, dass die CWA funktioniert, aber ihre Wirkung nicht spürbar ist (genauso wie Menschen gerne auf den Datenschutz verzichten, weil hier auch die Nachteile nicht sofort spürbar sind). Ebenso gingen wir darauf ein, dass Menschen sich nach Heilsversprechen sehnen und diesen auch ohne sachliche Prüfung glauben.
Dass wir auf Kupfer sind, ist Kohl und Schwarz-Schilling zu verdanken. Kohl hatte die von der SPD geplante Erneuerung des Telefonnetzes mittels GF gestoppt, da Kohl lieber sein Privatfernsehen haben wollte. Und Schwarz-Schilling baute dann das Kabelfernsehen lieber mit Kupfer auf anstatt etwas zu warten, bis GF soweit marktreif war. Selbst im fernen Japan hatte man mit dem Kopf geschüttelt.
Btw.: Man munkelt, Schwarz-Schilling hatte was mit Kupfer zu tun
Dr. Brink hat im aktuellen Auslegungssache Podcast (ab Minute 50) gesagt, dass es eine DSFA für die Luca App gibt, diese aber nicht öffentlich sein muss:
https://www.heise.de/hintergrund/Auslegungssache-36-Art-5-2-Die-Al-Capone-Vorschrift-6007278.html
Danke, ich habe die Folge auch gehört. Was verwundert ist jedoch, dass der zuständigen Berliner Datenschutzbehörde wohl keine DSFA vorlag. Was auch seltsam wirkt: wenn man eine DSFA erstellt hat (das ist einiges an Aufwand) und sie ist positiv, dann hält man sie nicht zurück. Ganz im Gegenteil, man legt sie voller Stolz als erstes und bestes Überzeugungsmittel vor.
Im Kuketz Forum haben wir ebenfalls darüber diskutiert, dort gibt es auch ein Transcript der Passage., wo man Herr Brink schwimmen sehen kann.
Für mich persönlich wird deutlich: Seine wohlwollende Stellungnahme ist mehr eine politische Absichtserklärung denn eine auf Fakten basierende Würdigung der datenschutzrechtlichen Situation. Da hat wohl jemand Aspiration auf höhere politische Ämter.
Das ist die mildeste Umschreibung, die mir dazu einfällt. Alles andere würde in den justiziablen Bereich fallen.
Was für ein hohles Gelaber. Außer bashing keine Substanz. Glauben die denn ernsthaft, die Landesregierungen und deren Datenschutzbeauftragten sind so blöd, wie der Kommissariatsleiter im Tatort?!
Bevor unsere Kultur und unser Einzelhandel stirbt, lass uns doch mit etwas anfangen! Wer kann denn „die perfekte und fehlerfreie Software“ programmieren? Den möchte ich sehen!
Danke für Ihren Kommentar. Aber ich denke, auf die Punkte sind wir sachlich eingegangen und haben auch erklärt, warum die Ansicht „Der Datenschutz ist an allem Schuld“ zu kurz gedacht ist.
Kurze Frage da ich direkt Betroffener bin: Wenn jetzt Ladengeschäfte einen Eintritt nur noch mit dieser komischen Luca App einfordern, die ich auf meinem Smartphone weder installieren, noch nutzen kann. Liegt hier eine Diskriminierung vor?
Wenn zusätzlich der Umstand hinzu gezogen wird, dass die Luca App so bescheiden programmiert ist, dass diese noch nichtmal behindertengerecht nutzbar ist, liegt hier nicht eine unzulässige Ausgrenzung behinderter Menschen vor?
Wenn man ferner bedenkt, dass nicht jeder ein Smartphone hat. Damit sind nicht nur die ärmeren Mitmenschen gemeint. Es gibt eine nicht gerade geringe Zahl an Mitarbeitern, die ein vom Arbeitgeber gestelltes Dienstgerät nutzen können mit der Auflage oder teilwesie durch MDM geblockt, keine Apps außer den bestehenden zu installieren.
Das sind alles Beispiele, wo ein aus meiner Sicht unzulässiger Keil in unsere Gesellschaft getrieben wird, wenn durch ein Lex Luca nur die Luca App als digitales Hilfsmittel zementiert wird.
Ich kann von mir persönlich sagen, sollte ich in ein Ladengeschäft gehen (was in der Pandemie eher selten ist) und mir jemand mit dieser Luca App quer kommen, dann kann er sich einen anderen Kunden suchen.
Danke, eine leider sehr unterhaltsame Folge.
Zu Open Source oder nicht: „Open Source“ ist ein Warenzeichen der „Open Source Initiative“ (OSI), die das nur für von ihr zertifizierte Lizenzen vergibt. Und die Luca-„Lizenz“ ist natürlich nicht von denen zertifiziert (die GPLv3 ist).
Hat sich der Berliner Bürgermeister möglicherweise der Unterschlagung schuldig gemacht und sollte das mal vor Gericht überprüft werden?
Stimme fast der ganzen Sendung zu. Nur zum Schluss eine Kleinigkeit, welche ich anders sehe:
„Der Angriff mit massenhaften Falschbuchungen“:
Angriffszenario: Jemand möchte nicht, dass er vom Gesundheitsamt angerufen wird. Dann sorgt er dafür, dass jede Menge Falschbuchungen sind. Das ist ein DDOS Angriff auf das Gesundheitsamt und Ergebnis ist, keiner kann mehr angerufen werden.
Wenn die LUCA Software ein Limit vorgibt und sie verpflichtet ist:
Konkurrent bucht einfach so lange, bis niemand mehr rein darf.
Anders die CWA: Die Betroffenen werden direkt informiert und kein Amt ist überlastet. Die Fake Accounts werden zwar auch informiert, aber im Rahmen von der „Sowieso Server Abfrage“. Dh die Fake Buchungen mit einem dezentralen System erhöhen nicht einmal die Serverlast geschweige den Gesundheitsbehördenlast.