Die Republik ist nur so stark wie ihre Community. Werden Sie ein Teil davon und lassen Sie uns miteinander reden. Kommen Sie jetzt an Bord!
Nun übernimmt das Konkursamt Bern den Fall und prüft die Option, die Impfdaten an Dritte zu verkaufen.
Ein Satz den ich hoffte, in der Schweiz nie lesen zu müssen.
Da hatte man sich vielleicht vor Jahren auf der Plattform angemeldet und nun werden ohne direkte persönliche Einwilligung seine Daten an Dritte verkauft. (Daten wie Name und Impfungen wechseln den Besitzer. Nicht wie bei Facebook und Co., wo nur der Zugang zu einem Werbeprofil verkauft wird, die Daten selbst aber nie den Besitzer wechseln.)
Danke fürs dranbleiben Adrienne und Republik.
Wie kann es sein, dass man die Daten an Dritte verkaufen will und wie kann es sein, dass irgendjemand das für eine gute Lösung hält. Die Daten gehören den Benutzer*innen.
das ist im Prinzip ein übliches Verfahren in einem Konkursprozess: Die Werte der konkursiten Gesellschaft zu Geld machen um die Gläubiger zu entschädigen.
Nur ist das natürlich in diesem speziellen Fall der sicher falsche Weg. Ich hoffe, dass das Konkursamt dies auch realisiert.
So ich mich seinerzeit dort eingetragen hätte, wäre ich also jetzt mit meinen medizinischen Daten Teil der Konkursmasse. Habe ich das gerade richtig verstanden? Wenn ja: Ungeheuerlich. Definitiv.
«So ich mich seinerzeit dort eingetragen hätte, wäre ich also jetzt mit meinen medizinischen Daten Teil der Konkursmasse.»
Ja, das ist richtig.
Es gibt seit letztem Jahr sogar eine ausdrückliche gesetzliche Regelung zum Ganzen:
«Befinden sich Daten in der Verfügungsmacht der Konkursmasse, so kann jeder Dritte, der eine gesetzliche oder vertragliche Berechtigung an den Daten nachweist, je nach Art der Berechtigung den Zugang zu diesen Daten oder deren Herausgabe aus der Verfügungsmacht der Konkursmasse verlangen.»
https://www.fedlex.admin.ch/eli/cc/…#art_242_b
(Zitiert habe ich nur Absatz 1. Die Bestimmung geht auf die neue Blockchain-Gesetzgebung zurück, funktioniert aber auch für Personendaten. Aber wie schon erwähnt: Das Konkursamt wird vermutlich nicht die fachliche Kompetenz habe, die Daten tatsächlich zu löschen.)
Und wer ist im BAG verantwortlich dafür, dass aus dieser Posse etwas gelernt wird (zB verbesserte Anforderungen bezüglich Datenschutz, Datensicherheit)? Einen ähnlichen GAU hatte die Rundschau ja vor ein paar Monaten auch bei SwissTransplant aufgedeckt; gemäß Transplantationsgesetz muss ja jetzt ein neues Register entwickelt werden.
Ich erhoffe mir eine "return to the state"-Bewegung...SwissTransplant und meineimpfungen.ch sind für mich beides digitale Altlasten aus einer anderen Ära. Man hat hoheitliche wichtige digital- und gesundheitspolitische Aufgaben an trümmlige Stiftungen ausgelagert (weil "freiwillige" Register). Dass es anders geht und gehen soll, beweisen die staatlichen Aufträge und Umsetzungen wie das Covid-Zertifikat oder der Fahrplan zur neuen eID (Open Source, öffentliche Security-Tests, Pen-Tests)
Gibt es eine Möglichkeit als ehemalige Nutzerin selbst die Löschung der Daten zu beantragen bzw. dem Verkauf der Daten zu verhindern?
Scherzkeks fragt: kann ich die auf meine Person bezognen Daten beim Konkursamt abkaufen und selber verhützern (verscherbeln)?
Meine Überlegungen zu dem Thema:
Gespeichert sind:
Name, Adresse, Alter, Geschlecht, eMail
Impfdaten
Interessant sind für die betroffenen Personen lediglich die Impfdaten.
Was wäre wenn man nur die Impfdaten zusammen mit einem sha256 Hash der Email Adressen speichern würde. Und die Informationen dann auf Anfrage (web Interface) via ein Inca/HIN-Mail-artiges System ausliefern würde.
Sicherheitstechnisch sollte das ausreichend sein, da Informationen zu Impfungen ja nicht per se etwas über den Gesundheitszustand einer Person aussagen und die Daten auch ursprünglich via eMail-Zuordnung erfasst worden sind.
Sooo schwierig wäre das jetzt nicht zu bewerkstelligen finde ich.
Solange die Datenübertragung mit einem Web Interface und TLS Verschlüsselung stattfinden würde, wäre der Aufwand für Inca/Hin-Mailartigkeit eher übertrieben. Inca-Mail benötigt ja zusätzlich noch einen zweiten Faktor, der hier auch fehlt.
Die generelle Problemstellung scheint zu sein, wie die Betroffenen an die Zugangsdaten kommen. Wenn Hausärzte die Daten hochgeladen haben, dürfte im Regelfall die Email-Adresse fehlen und nur Name/Anschrift/Geschlecht verfügbar sein. Und selbst dies scheint nicht immer korrekt zu sein, wie im Bericht zu lesen war.
Mir erscheint das wie eine Einbahnstrasse. Warum die Betroffenen zwar Impfungen dokumentiert bekommen haben, selber aber über keinerlei Nachweise darüber zu verfügen ist mir schleierhaft. Da wurde offenbar blind einem Anbieter vertraut, der "schon alles richtig machen wird". Kommt mir ein klein wenig vor wie die Swisscom, die zuerst eine CH-Cloud mit kostenlosem Fotospeicher angeboten hat, erst Lösch- und Backup-Pannen hatte und dann das Angebot doch kostenpflichtig gemacht hat.
Der Fall bei dem Hausärzte die Daten hochgeladen haben, sind vermutlich in der Minderzahl, und vor allem ist davon auszugehen, dass die Fachpersonen auch noch eine eigene Kopie der Daten haben.
Ich habe Inca/HIN Mail vorgeschlagen weil die beiden Plattformen schon einen etablierten Weg anbieten um Sensitive Daten an "Normal-Menschen" auzuliefern.
Aber klar, letztendlich geht es lediglich darum die Auslieferung so zu vorzunehmen, dass:
a) nur auf Anfrage ausgeliefert wird
b) die Daten nur bei der Person landen welche die jeweilige E-Mail Adresse kontrolliert.
c) die Daten währen der Auslieferung nicht von 3. abgefangen werden können.
Idealerweise würde dazu von der interessierten Person im Browser (App mit JavaScript) lokal ein Keypair erzeugt. Der Privatekey würde im Browser (Localstorage) gespeichert und der Publickey per eMail an den Auslieferungsserver gesendet.
Der Auslieferungsserver verschluesselt seine Antwort mit dem Publickey des Nutzers und sendet das ganze zurück. Die Antwort ist ein Weblink den man im Browser öffnen kann. Dort wird die Antwort mit dem Privatekey (+Passphrase) entschlüsselt und erlaubt dann den Download der Impfdaten.
Dadurch ist sichergestellt, dass die Daten die im 'unsicheren' E-Mail Kanal unterwegs sind nicht in die falschen Hände gelangen können.
Besten Dank für diese klare Stellungnahme. Ich habe zum gleichen Thema auf Medinside gerade eine Kolumne veröffentlicht: https://www.medinside.ch/de/post/da…pfdossiers
Sie fordern, dass die Daten an die Betroffenen gegeben werden sollen. Der erste Versuch ist ja grandios gescheitert. Haben Sie einen sinnvollen Vorschlag, wie das stattfinden soll? Es scheint ja durchaus ein gewisses Chaos in den Daten vorzuliegen.
Ich bin auch etwas ratlos, wie das sinnvoll umgesetzt werden kann.
Auszug aus oben verlinkter Kolumne
"In dieser heillosen Überforderung des BAG sollte man keinen Tag länger auf eine funktionierende staatliche Informatiklösung warten."
Wir sollten uns mal an die der Bevölkerung damals, vor vielen Jahren "verkaufte" neuen KK-Karte mit dem Chip erinnern ! Was uns da alles versprochen wurde, was auf diesem Chip gespeichert werden soll und wie man daraus Nutzen ziehen könnte. Auch diese Wolke verschwand im Nirvana ...
...Die Kosten für den Erwerb und das ganze Verwertungsverfahren belaufen sich fast auf eine halbe Million Franken: Vielleicht ist es günstiger, einfach die Festplatten aus der Konkursmasse aufzukaufen... :-)
Das war als Spass gemeint, oder?
Tatsächlich gehe ich davon aus, dass die betroffenen Festplatten nicht einmal verschlüsselt sind und die Daten dort in irgendeiner Form von Klartext lagern.
- Mitglied werden
- Angebote
- Gutschein einlösen
- Anmelden
Republik AG
Sihlhallenstrasse 1
8004 Zürich
Schweiz