Schlussbericht Sachverhaltsabklärung vom 31. August 2021 betreffend "meineimpfungen.ch"

1. Einführung 3

1.2. Partei und Beteiligte .............0..ccececeeceseeeeeceeeeeceseeseeeescueeeeceeetaeseaeeeeseneeseeeecueeeteaeeneee 3

1.3. (Kell: | om ET RTEIRTRTRTTITITITITRETERT 4 2: Sachverhaltsfeststellung 11 21. Funktionsweise und Zweck der Impfplattform...................................... nennen 11 2.3: Datensicherheit mr-....2.2.22 2222 2022ssanooossenensnnenreenurossnennnr sonen soveueeessaeeeeeseeeeeeseceseeeeeeeeenneee 13 2.4. Protokollierung / Logging .. -

2.5. Dateninlegnitätz meer ernennen ana en vacsomesctovertsrenrsnnestcesacteucnssattsnerensamestcd

3. Rechtliche Würdigung und Empfehlungen 18 4, Verfahrensabschluss 22

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

1. Einführung

1.1. Grundlagen und Umfang der Sachverhaltsabklärung

1 Der Eidgenössische Datenschutz- und Offentlichkeitsbeauftragte (EDOB) klärt von sich aus oder auf Meldung Dritter hin einen Sachverhalt näher ab, wenn Bearbeitungsmethoden geeignet sind, die Persönlichkeit einer grösseren Anzahl von Personen zu verletzen (sog. Systemfehler). Gemäss Art. 29 Abs. 2 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG; SR 235.1) kann er dabei Akten herausverlangen, Auskünfte einholen und sich Datenbearbeitungen

vorführen lassen.

2 Auf der Plattform meineimpfungen.ch konnten (bis zur Einstellung der Plattform) Privatpersonen ihre erfolgten Impfungen in einem persönlichen Konto elektronisch dokumentieren («elektronischer Impfausweis»). Das Modul «myCOVIDvac» diente zur elektronischen Dokumentation der Covid-19-Impfungen auf der Plattform.

3 Die vorliegende Sachverhaltsabklärung hat zum Ziel, die im Zusammenhang mit einer journalistischen Recherche bekannt gewordenen Mängel der Plattform in Bezug auf die Datenschutzkonformitat und die Datensicherheit zu verifizieren!. Zudem wird die Integrität der auf der Plattform hinterlegten Daten beurteilt.

1.2. Partei und Beteiligte

4 Partei im vorliegenden Verfahren ist die Stiftung meineimpfungen (UID CHE-169.700.102), welche die Plattform meineimpfungen.ch betreibt. Bei der Stiftung mit Sitz in 3072 Gümligen handelt es sich um eine Stiftung gemäss ZGB. Stiftungszweck ist gemäss Handelsregister «das elektronische Impfdossier auf einer elektronischen Plattform zu betreiben (www.meineimpfungen.ch / www.mesvaccins.ch / www.mievaccinazioni.ch / www.myvaccines.ch) sowie durch alle verfügbaren Schnittstellen, die dahinterstehende Technologie sowie das entsprechende Know-How weiterzuentwickeln und das elektronische Impfdossier und die Plattform in der Schweizerischen Bevölkerung bekannt zu machen und zu verbreiten. Die Stiftung kann auch im Bereiche des Impfwesens wissenschaftlich und aufklärend tätig sein. (...) Die Stiftung ist nicht gewinnorientiert.».

1 Vgl. sogleich Rz 13

Confédération suisse EDÖB

U Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Offentlichkeitsbeauftragter

Confederazione Svizzera Confederaziun svizra

Im vorliegenden Verfahren wird die Stiftung von der Steiger Legal AG, Florastrasse 1, 8008 Zürich, handelnd durch RA Martin Steiger vertreten?.

Die Arpage AG3, Tobelweg 4, 8700 Küsnacht besorgt im Auftrag der Stiftung die IT und den technischen Betrieb der Plattform.

Das Bundesamt für Gesundheit (BAG) unterstützte die Stiftung finanziell und empfahl die Plattform für den elektronischen Impfausweis®. Zudem beauftragte das BAG die Stiftung mit der Einrichtung des Moduls «myCOVIDvac» für die Dokumentation der Impfungen gegen Covid-19.

Die Compass Security Schweiz AGS, Werkstrasse 20, 8645 Jona hat die Plattform Ende März 2021 im Auftrag der Stiftung meineimpfungen einer Prüfung unterzogen.

Das Verfahren wird von folgenden Mitarbeitenden des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) instruiert:

Technische Sachbearbeitung:

- Fritz von Allmen, Informations- und Sicherheitsspezialist Kompetenzzentrum IT und digitale Gesellschaft

- Michael Burger, Informations- und Sicherheitsspezialist Kompetenzzentrum IT und digitale Gesellschaft

Juristische Sachbearbeitung: - Nathalie Weber, Leiterin Team 1 Datenschutz

- Anne-Sophie Morand, Juristin Team 1 Datenschutz

1.3. Chronologie

Ab dem Zeitpunkt des Verfügbarwerdens einer Impfung gegen Covid-19 im Herbst 2020 wurden im Rahmen der Vorbereitungsarbeiten des Bundes und der Kantone für die Impfkampagnen die Frage der Dokumentation der Impfungen eingehend diskutiert. Das BAG hat die Stiftung meineimpfungen in diesem Zusammenhang mit der Erstellung eines Moduls «myCOVIDvac» für die Dokumentation der Covid-19-Impfung beauftragt.

2 Vollmacht vom 23.03.2021.

4 Vgl. dazu beispielsweise die Medienmitteilung des BAG vom 23.04.2018, https:/Avww.bag.admin.ch/bag/de/home/das-bag/aktuell/medienmitteilungen.msg-id-70502.html, aufgerufen am 19.07.2021.

5 https: //www.compass-security.com.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Offentlichkeitsbeauftragter Confédération suisse EDÔB

Confederazione Svizzera

Confederaziun svizra

Im Rahmen einer als «vertraulich» klassifizierten (jedoch im Internet® auffindbaren) Information vom 09.12.2020 zur Impfstrategie und zum aktuellen Stand der Vorbereitungen an Ärztegesellschaften, med. Fachgesellschaften, Berufsverbände Pflege, Zahnärzte, PharmaSuisse und Verbände der Krankenversicherer teilte das BAG mit, dass es für die zentralen Prozesse der Dokumentation des Impfaktes, für das Impfmonitoring sowie für das Erstellen eines Impfnachweises zuhanden der geimpften Personen mit «myCOVIDvac» zusammenarbeiten werde. Damit bildeten die Plattform bzw. das Modul bereits einige Zeit vor der Berichterstattung der Republik ein potentielles Angriffsziel.

Am Abend des 21. März 2021 machte das Online-Magazin «Republik.ch» den EDÖB mit einem schriftlich begründeten Hinweis auf Sicherheits- und Datenschutzmängel bei der von der Stiftung meineimpfungen betriebenen Plattform meineimpfungen.ch (einschliesslich Modul «myCO- ViDvac») aufmerksam. Das Magazin hatte die Plattform und das Modul zusammen mit einem IT Security-Team in den vorangehenden Wochen mit Blick auf den Datenschutz und die IT-Sicherheit untersucht und diverse kritische Schwachstellen moniert.

Die «Republik» liess dem EDÖB eine nicht abschliessende Liste von Mängeln zukommen und legte hierfür in der E-Mail vom 21. März 2021 einen Ergebnisreport bei (vgl. FN 7). Diese Liste hielt fest, dass jede angemeldete Medizinalfachperson umfassenden und uneingeschränkten Zugriff auf sämtliche auf der Plattform erfassten Daten von Privatpersonen und deren Covid-19-relevanten Risikofaktoren, Gesundheitsdaten und Impfdetails habe und diese einfach manipulieren könnte. Weiter wurde aufgeführt, dass bei der Registrierung als Medizinfachperson keine eigentliche Identitätsprüfung stattfinde. Die Verifikation sei mangelhaft und basiere einzig auf den Informationen der antragstellenden Person. Sodann teilte das Magazin mit, dass Hackerinnen oder Hacker sowie auch autorisierte Ärztinnen und Ärzte leicht alle Covid19-Impfpässe sämtlicher bisher geimpften Personen auf der Plattform abrufen können. Mit etwas technischem Wissen könnte eine Hackerin oder ein Hacker ausserdem die Impfdaten und Gesundheitsdaten manipulieren.

Neben dem EDÖB informierte das Magazin zeitgleich auch die Stiftung meineimpfungen, das BAG sowie das National Cyber Security Centre (NCSC).

Auf der Grundlage von Art. 29 DSG mit Schreiben vom 22. März 2021, welches der Stiftung meineimpfungen per Post und gleichentags vorab per E-Mail zugestellt wurde, leitete der EDÖB die vorliegende Sachverhaltsabklärung ein, um zu prüfen, ob die Datenbearbeitungen durch die Stiftung den Anforderungen an die Datensicherheit gerecht werden.

6 https://www.berner-aerzte.ch/fileadmin/user_upload/Stakeholderinformation_Fachorganisationen_COVID-19-Impfung.pdf, zuletzt abgerufen am 12.07.2021.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confederation suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

16 In seinem Schreiben forderte der EDÖB die Stiftung und die für den Datenschutz verantwortliche Person auf, innert drei Tagen (d.h. bis Freitag, 26. März 2021 eingehend) summarisch und schriftlich zu den Hinweisen der «Republik» betreffend Verletzung des DSG Stellung zu nehmen (insbesondere zu den Punkten gemäss Ziffer 2 des Ergebnisreports’) und den EDOB über beschlossene und umgesetzte Datenschutzmassnahmen auf dem Laufenden zu halten. Gleichzeitig hielt der EDÖB fest, dass technisch unsichere, unverhältnismässige und allenfalls gegen die Nutzungsbedingungen verstossende Bearbeitungen von Personendaten unverzüglich einzustellen seien. Ebenso empfahl der EDÖB der Stiftung, die betroffenen Personen zeitgerecht über die getroffenen Sofortmassnahmen zu informieren.

17 Der EDÖB hielt in seinem Schreiben an die Stiftung weiter fest, dass von der als mangelhaft angezeigten Bearbeitung besonders schützenswerter Personendaten i.S.v. Art. 3 Bst. c. Ziff. 2 DSG auf der Plattform meineimpfungen.ch eine grosse Anzahl von Personen betroffen sei. Der angezeigte Bearbeitungssachverhalt sei somit gegebenenfalls als Systemfehler i.S.v. Art. 29 Abs. 1 Bst. a DSG zu qualifizieren, dessen Abklärung dem EDÖB obliege und aufgrund der geltend gemachten Schwere dringlich sei.

18 Die Stiftung meineimpfungen nahm die Plattform meineimpfungen.ch gleichentags vom Netz und informierte auf ihrer Website, dass Wartungsarbeiten im Gange seien.

19 Gemäss Berichterstattung der «Republik»® zählte die Plattform meineimpfungen.ch zu diesem Zeitpunkt rund 450'000 Nutzerinnen und Nutzer, während das Modul «myCOVIDvac» rund 240'000 Impfdatensätze umfasste. Von diesen rund 240'000 Impfdatensätzen seien rund 70'000 für angemeldete Fachpersonen über die Plattform zugänglich und damit potenziell von unbefugten Zugriffen betroffen gewesen.

20 Am 23. März 2021 um 05:00 Uhr erschien im Online-Magazin «Republik»® und auf der Website der deutschen Zeitung Handelsblatt’ ein Bericht über die aufgedeckten Mängel. Ebenso wurde der Ergebnisreport (vgl. FN 7) des Online-Magazins «Republik» auf dem Blog https://mezdanak.de/ veröffentlicht!'.

7 Sven Fassbender, Martin Tschirsich, Dr. phil. nat. André Zilch: Ergebnisreport zur Untersuchung meineimpfungen vom 21.03.2021

® Vgl. sogleich, FN 9.

® https://www.republik.ch/2021/03/23/wollen-sie-wissen-womit-viola-amherd-geimpft-ist, zuletzt abgerufen am 12.07.2021.

1? https:/Avww.handelsblatt.com/inside/digital_health/digitaler-impfpass-warnung-fuer-deutschland-schweizer-corona-impfnachweis-hat-erhebliche-sicherheitsluecken/27027954.html, zuletzt abgerufen am 12.07.2021.

11 https: //Imezdanak.de/2021/03/22/sicherheitspruefung-meineimpfung-ch-und-services-mycovidvac-ch/, zuletzt abgerufen am 12.07.2021.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÔB

Confederazione Svizzera

Confederaziun svizra

Mit Schreiben vom 26. März 2021 teilte die Steiger Legal AG dem EDÖB mit, dass sie von der Stiftung meineimpfungen beauftragt wurde, diese im Rahmen der Sachverhaltsabklärung zu vertreten. In einer vorläufigen Stellungnahme informierte der Rechtsvertreter den EDÖB, dass seine Mandantin den Betrieb der gesamten Plattform vorläufig unterbrochen habe, um eine vollständige Analyse vornehmen zu können (Ziff. 3 des Schreibens). Weiter wurde der EDÖB auch über die auf der Website aufgeschaltete und ebenfalls direkt per E-Mail erfolgte Information an die Nutzerinnen und Nutzer über die Ausserbetriebnahme der Plattform in Kenntnis gesetzt (Ziff. 4 des Schreibens). Es wurde sodann festgehalten, dass eine vollständige Analyse der Mandantin aktuell noch im Gang sei und sich nicht allein auf die gemeldeten Schwachstellen gemäss Bericht, sondern auf die gesamte Plattform beziehe. Das Ergebnis würde voraussichtlich ein detaillierter «Incident Report» sein. Die Stiftung habe zudem die Zusage der spezialisierten Dienstleisterin Compass Security Schweiz AG in der Schweiz erhalten, die Analyse wie auch die Plattform unabhängig zu prüfen. Zudem plane die Stiftung, eine «Light»-Version der Plattform aufzuschalten, die es Nutzerinnen und Nutzern ausschliesslich erlaube, eine Kopie ihrer Daten als PDF-Datei herunterzuladen und / oder ihre Daten zu löschen.

Am 1. April 2021 bat der EDÖB die Stiftung, ihm mitzuteilen, bis wann mit den Ergebnissen der genannten Analysen und der Aufschaltung der «Light»-Version der Plattform gerechnet werden dürfe.

Am 16. April 2021 meldete die Stiftung dem EDÖB, dass es nicht möglich sei, zeitnah eine «Light»-Version der Plattform aufzuschalten, um die Ausführung der Auskunfts- und / oder Löschbegehren direkt durch die Nutzerinnen und Nutzer selbst zu ermöglichen. Die Plattform solle stattdessen wieder direkt vollständig in Betrieb gehen, was dann allen bisherigen Nutzerinnen und Nutzern auch ermöglichen werde, ihre Daten direkt abzurufen und / oder löschen zu lassen. Die Arbeiten, auch in Zusammenarbeit mit Compass Security Schweiz AG, kämen voran. Die Stiftung hielt sodann fest, dass eine erneute Inbetriebnahme Mitte Mai 2021 erfolgen könne und der EDÖB entsprechend informiert würde.

Daraufhin verlangte der EDÖB am 21. April 2021, dass die Stiftung ihm vor einer allfälligen Wiederaufnahme und mit entsprechender Vorlaufzeit alle relevanten Dokumente zustelle, damit er sich über die seitens der Stiftung ergriffenen Massnahmen ein umfassendes Bild machen könne. Nur so werde es dem EDÖB möglich sein, angemessen zu beurteilen, ob ein datenschutzkonformer Betrieb der Plattform künftig möglich sei.

Mit Schreiben vom 26. April 2021 informierte die Stiftung den EDÖB über die geplante Wiederinbetriebnahme der Plattform meineimpfungen.ch in der ersten Maihälfte 2021 und zeigte sich zuversichtlich, die vom EDÖB einverlangte Dokumentation bis am 7. Mai 2021 zustellen zu können.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

Am 29. April 2021 verlangte der EDÖB einen konkreten Zeitplan. Er gab zudem zu bedenken, dass eine Wiederaufnahme des Betriebs auf den vorgesehenen Zeitpunkt hin unter Berücksichtigung der vom EDÖB benötigten Zeit zur Prüfung der Dokumentation kaum umsetzbar sei.

Am 14. Mai 2021 informierte die Stiftung den EDÖB über die definitive Einstellung der Plattform meineimpfungen.ch einschliesslich dem Modul «myCOVIDvac». Der Stiftungsrat habe beschlossen, die Plattform in der bisherigen Form und mit der bisherigen Funktionalität nicht mehr in Betrieb zu nehmen. Dieser Beschluss gehe auf eine erneute Gesamtbeurteilung nach Vorliegen einer vollständigen Analyse zurück. Es habe sich gezeigt, dass ein sicherer Betrieb der bisherigen Plattform nicht mehr gewährleistet werden könne, weshalb die ursprünglich geplante Wiederinbetriebnahme der Plattform kein Thema mehr sei. Weiter führte die Stiftung aus, dass ein externes und unabhängiges Krisenteam an einer Lösung arbeite, um den zahlreichen Nutzerinnen und Nutzern den Zugang zu ihren Impfdaten auf einer neuen — nur für diesen Zweck sicher entwickelten — Website wieder zu ermöglichen. Der Stiftungsrat werde sodann unter meineimpfungen.ch wöchentlich über den aktuellen Stand der Dinge informieren.

Mit Schreiben vom 25. Mai 2021 gelangte der EDÖB an die Vertretung der Stiftung, um ihn bzw. die Stiftung zu einem telefonischen Kurzgespräch einzuladen. Im Zentrum sollten dabei eine kurze Standortbestimmung und das weitere, geplante Vorgehen der Stiftung stehen. Dem EDÖB war bspw. zum aktuellen Zeitpunkt nicht klar, ob die Stiftung plante, künftig eine komplett neue Plattform aufzubauen, oder ob sie ihre Dienste wie im Schreiben vom 14. Mai 2021 angekündigt definitiv, d.h. ohne Nachfolgeplattform, einstellen würde.

Am 27. Mai 2021 fand das Gespräch zwischen zwei Vertretern des EDÖB, dem Rechtsanwalt der Steiger Legal AG und zwei Vertretern der Stiftung statt. Die Stiftung wies darauf hin, dass ihr Minimalziel (die Daten wieder zur Verfügung zu stellen) momentan nicht gesichert sei. Die Möglichkeit einer Übernahme durch eine neue Plattform bzw. einen neuen Betreiber wurde ebenfalls thematisiert. Die Stiftung vertrat sodann glaubhaft, dass der Fokus auf der Datenherausgabe und den Datenlöschungen liege.

Gestützt auf die Prüfung der Schutzbedarfsanalyse, der Risikobeurteilung und des Security-Bericht der Compass Security Schweiz AG (vgl. Rz 36) stellte der EDÖB unter anderem fest, dass sich aus den vorliegenden Dokumenten keine Aussagen betreffend die Integrität des Datenbestandes der Plattform ableiten lassen. Deshalb wandte sich der EDÖB am 4. Juni 2021 mit einem Fragenkatalog erneut an die Vertretung der Stiftung. Die Beantwortung sollte zur Beurteilung dienen, inwiefern der Datenbestand in Zukunft nochmals einer Bearbeitung zugeführt werden könne (z.B. für Download des eigenen elektronischen Impfausweises). Der EDÖB verlangte fundierte und dokumentierte Aussagen darüber, auf welche Weise untersucht wurde, ob die Daten unbefugt

Confédération suisse EDÖB

U Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Offentlichkeitsbeauftragter

Confederazione Svizzera Confederaziun svizra verändert wurden, resp. die Integrität und somit ein zentraler Aspekt der Datensicherheit nach Art. 7 DSG in Verbindung mit Art. 8 lit. e VDSG noch gegeben sei.

Am 23. Juni 2021 beantwortete die Stiftung die Fragen des EDÖB. Dabei bezog sich eine grosse Anzahl der Antworten auf das in Frage 9 erwähnte Dokument «Incident Report GTA». Das Dokument wurde dem EDÖB jedoch nicht übermittelt.

Der EDÖB hielt in seiner E-Mail vom 24. Juni 2021 an den Vertreter der Stiftung fest, dass für die Beurteilung der Datenintegrität bzw. der Frage, ob eine künftige, weitere Bearbeitung der Personendaten von meineimpfungen.ch resp. dem Modul «myCOVIDvac» mit Risiken verbunden ist, Informationen aus den Logs resp. die Loganalyse von grosser Bedeutung seien. Aus diesem Grund — und mit Blick auf die Wahrung des rechtlichen Gehörs der Stiftung — verlangte der EDÖB mit Frist bis zum 28. Juni 2021 nochmals den besagten «Incident Report GTA».

Am 28. Juni 2021 teilte die Stiftung dem EDÖB mit, dass das Dokument «Incident Report GTA» weiterhin nicht vorhanden sei. Es wurde seitens der Stiftung trotzdem betont, dass keinerlei Anzeichen vorliegen würden, dass die Datenintegrität nicht gewährleistet sein könne. Die Stiftung konnten diese Aussage jedoch nicht belegen.

Am 13. Juli 2021 teilte die Stiftung meineimpfungen auf ihrer Website mit, dass allen Nutzerinnen und Nutzern ab sofort ein Online-Formular!? zur Verfügung stehe, um die Anfrage nach den Impfdaten zu vereinfachen.

Die Abklärung der datenschutzrechtlichen Situation, insbesondere der Datenintegrität, durch den EDÖB erfolgt vorliegend gestützt auf die bis zum 7. Juli 2021 zugestellten bzw. vorhandenen Dokumente (siehe Kapitel 0) und die sich aus der Korrespondenz ergebenden Informationen sowie auf öffentlich zugänglichen Informationen, Meldungen von Betroffenen an den EDÖB und öffentlichen Mitteilungen der Stiftung.

12 Erreichbar unter https://inquiry.meineimpfungen.ch/, zuletzt aufgerufen am 12.07.2021.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

1.4. Eingegangene Dokumente

36 Folgende Dokumente wurden dem EDÖB mittels passwortgeschütztem Zugang auf der Plattform der Steiger Legal AG zur Verfügung gestellt (Beilagen vom 14. Mai 2021):

ID Datum Autor Dokumententitel [1] 7. Mai 2021 Compass Security report_86845_Recheck_Meineimpfungen.ch Schweiz AG _und_myCOVIDvac_v2.0.pdf

(Recheck meineimpfungen und myCOVIDvac; Klassifizierung gemäss Autorenschaft: strictly confidential)

[2] 5. Mai 2021 Stiftung meineimpfungen.ch _ISDS_02_Risikoanameineimpfungen.ch lyse.xIsx

[3] 5. Mai 2021 Stiftung meineimpfungen.ch _ISDS_00_Schutzbedarfsameineimpfungen.ch nalyse.xisx

37 Tabelle 2 listet die Beilagen vom 23. Juni 2021 auf (Zustellung via Plattform der Steiger Legal AG, mit Passwort geschützt):

ID Datum Autor Dokumententitel

[4] 26. Januar 2021 Gravity Report Vulnerability Report test.meineimpfungen.ch Web SAFE.pdf

[5] 26. Januar 2021 Arpage AG MyVaccines-Security-Concept.pdf

[6] 24. März 2021 Gravity Report Vulnerability Report test.meineimpfungen.ch.pdf

[7] 26. März 2021 Gravity Report Vulnerability Report test.meineimpfungen.ch.pdf

[8] 23. Juni 2021 Steiger Legal AG 2021-06-23 - T-EDÖB - Schreiben.pdf

38 Die vorliegende Sachverhaltsfeststellung des EDÖB stützt sich vorwiegend auf die Dokumente [1] und [8] ab. Die im Übrigen aufgelisteten Dokumente wurden gesichtet, jedoch als nicht wesentlich erachtet.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

2. Sachverhaltsfeststellung

2.1. Funktionsweise und Zweck der Impfplattform

39 Auf der Plattform meineimpfungen.ch und dem dazugehörenden Modul «myCOVIDvac» können

Nutzerinnen und Nutzer eintragen, welche Impfungen sie wann erhalten haben. Sodann kônnen die Nutzerinnen und Nutzer online überprüfen bzw. abrufen, ob Impfungen bestehen, fehlen oder aufgefrischt werden müssen. Es werden somit Gesundheitsdaten und damit besonders schützenswerte Personendaten im Sinne des Datenschutzgesetzes bearbeitet.

Die Funktionsweise der Plattform meineimpfungen.ch wird in einem vom BAG bereitgestellten Faltblatt!? «Der schweizerische elektronische Impfausweis (Version Arztpraxis)» wie folgt beschrieben:

«Der elektronische Impfausweis ist ein persönliches Konto mit Ihren Impfangaben auf der Schweizer Internetplattform www.meineimpfungen.ch.

« Übertrag - Die Einträge Ihres bestehenden Impfbüchleins werden in Ihr persönliche Konto übertragen. e Validierung der Daten — Eine Fachperson kontrolliert und validiert die Impfungen.

e _ Zusatzinformationen — Auch Informationen zu Allergien, durchgemachten Krankheiten oder Risikofaktoren (inklusive geplante Reisen) lassen sich dort festhalten.

e _ Expertise — Meineimpfungen.ch analysiert den Impfstatus entsprechend den Empfehlungen des Schweizer Impfplans und berücksichtigt dabei ihre persönlichen Zusatzinformationen.

« Autonomie - Sie allein entscheiden, welche Fachpersonen Zugriff auf Ihren Impfausweis erhalten, und welche Impfungen Sie erhalten möchten und welche nicht.

e Familie / Partner — Familien können die Daten von mehreren Personen in einem Konto verwalten.

«. Offiziell anerkanntes Dokument — analog dem konventionellen Impfausweis.

e Sicherheit — Ihre Daten werden vollständig vertraulich behandelt und in der Schweiz gespeichert.»

42 Neun Kantone haben einen Vertrag mit der Stiftung, um die Daten der Impfanmeldungssoftware

der Kantone und des gesamtschweizerischen elektronischen Impfbüchleins zusammenzuführen.

13 https:/www.bundespublikationen.admin.ch/cshop_mimes_bbl/8C/8CDCD4590EE41EE891DFC6B6A9953B22.pdf, aufgerufen am 12.07.2021.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

2.2. Auskunfts- und Löschungsbegehren von Nutzerinnen und Nutzern

Ab dem Zeitpunkt der Ausserbetriebnahme der Plattform Ende März 2021 hatten die Nutzerinnen und Nutzer der Plattform keinen Zugriff mehr auf Ihre Daten.

Um den Auskunfts- und Löschungsbegehren der Nutzerinnen und Nutzern gerecht zu werden, präsentierte die Stiftung dem EDÖB zunächst die Möglichkeit, dass Betroffene ein Auskunfts- und Löschbegehren auf schriftlichem Weg unter Vorlage einer beglaubigten Ausweiskopie stellen könnten. Der EDÖB befürwortete die Möglichkeit, Auskunfts- und Löschungsbegehren auf diesem Weg zu begegnen, gab in seinem Schreiben vom 21. April 2021 jedoch zu bedenken, dass gesuchstellenden Personen durch das Erfordernis einer Echtheitsbestätigung eines Ausweises ein finanzieller Aufwand erwächst — dies, obschon die Datenschutzgesetzgebung z.B. hinsichtlich des Auskunftsrechts festhält, dass die Auskunft grundsätzlich kostenlos zu erteilen ist und Ausnahmen nur in eng begrenzten Ausnahmefällen zulässig sind (Art. 1 VDSG). Der EDÖB hielt hierbei fest, dass ein solcher Ausnahmegrund im vorliegenden Fall nicht gegeben sei, zumal der Mehraufwand für die Verifikation der Auskunftsersuchenden nicht durch die Nutzerinnen und Nutzer der Plattform und Kunden der Stiftung verursacht worden war.

Dementsprechend wies der EDÖB die Stiftung darauf hin, dass diese den gesuchstellenden Personen den besagten Kostenaufwand zurückzuerstatten habe. Ob dies seitens der Stiftung mittlerweile auch tatsächlich so gehandhabt wird bzw. wurde, kann der EDÖB nicht abschliessend beurteilen.

Dem EDÖB ist aufgrund von schriftlichen und telefonischen Anfragen betroffener Bürgerinnen und Bürgern bekannt, dass viele gesuchstellende Personen sodann keine Impfdaten erhalten haben bzw. ihr Auskunfts- und auch Löschungsbegehren nicht erfolgreich geltend machen konnten. Gemäss Meldungen von Bürgerinnen und Bürgern antworte die Stiftung auch nicht auf alle eingeschriebene Briefe. Die Stiftung machte geltend, dass sie keine Kenntnis davon habe, dass betroffene Personen datenschutzrechtliche Begehren nicht erfolgreich geltend machen konnten oder dass einzelne Schreiben nicht beantwortet worden seien. Die Stiftung gibt in diesem Zusammenhang zu bedenken, dass sie vorgängig informiert habe, dass die Bearbeitung von Begehren länger als 30 Tage dauern würden. Jedenfalls sei eine Bearbeitungsdauer von mehr als 30 Tagen aber nicht mit einem nicht erfolgreichen Begehren oder einer fehlenden Beantwortung gleichzusetzen, zumal eine längere Dauer als 30 Tagen in der VDSG ausdrücklich vorgesehen sei. Der EDÖB kann nicht beurteilen, ob das Nicht-Reagieren auf der grossen Anzahl von eingehenden Anfragen gründet oder ob das Erfüllen der Auskunfts- und Löschrechte generell eingestellt oder reduziert wurde.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

Seit dem 13. Juli 2021 besteht nunmehr über ein Online-Formular die Möglichkeit eines Zugriffs auf die eigenen Daten oder einer Löschung derselben (vgl. oben Rz 34). Um einen Zugriff oder eine Löschung zu beantragen, müssen Nutzerinnen und Nutzer ihre Personalien (Name, Vorname, Adresse, E-Mail-Adresse, Mobilnummer, Geburtsdatum) angeben und zudem eine Ausweiskopie hochladen. Für Minderjährige unter 16 Jahren wird zusätzlich eine Sorgerechtsbestätigung verlangt. Gemäss Angaben zum Online-Formular erhalten die Gesuchsteller einige Tage nach der Bestätigung ihrer E-Mail-Adresse eine verschlüsselte E-Mail über die HIN Plattform. Darin enthalten seien ein PDF mit dem offiziellen Impfausweis, sowie eine XML-Datei mit allen persönlichen medizinischen Daten, die in einem zukünftigen System verwendet werden können.

Damit erfüllt die Stiftung meineimpfungen eine Forderung des EDÖB, den Betroffenen eine einfache und kostenlose Möglichkeit zur Verfügung zu stellen, um Auskunft über ihre Daten oder die Löschung derselben geltend zu machen.

2.3. Datensicherheit

Im Folgenden beleuchtet der EDÖB verschiedene technische Themen im Zusammenhang mit der Datensicherheit. Hierzu werden der Security-Bericht (vgl. Dokument [1] oben Abschnitt 0) sowie die Beantwortung der Fragen des EDOB an die Stiftung vom 23. Juni 2021 (vgl. Dokument [8] oben Abschnitt 0) herangezogen.

2.3.1. Entwicklung der Plattform meineimpfungen.ch

Die Stiftung meineimpfungen hat das Unternehmen Arpage AG mit der Entwicklung und dem Betrieb der Plattform meineimpfungen.ch beauftragt. Das zusätzlich entwickelte Modul «myCO- VIDvac», das in die Plattform meineimpfungen.ch eingebunden und damit verknüpft wurde, ist ebenfalls von der Arpage AG entwickelt und programmiert worden.

Die Stiftung beschreibt gegenüber dem EDÖB die organisatorische Aufteilung der Verantwortlichkeiten zwischen Stiftung und Betreiberin wie folgt: Die Stiftung habe den Betrieb der Plattform meineimpfungen.ch wie überhaupt auch die operative Tätigkeit der Stiftung vollständig an die Archen worden, in erster Linie aufgrund von Informationen durch den Vertreter der beauftragten Ar- Vertreter im Stiftungsrat, über den Betrieb der Plattform informiert worden. So sei der Stiftungsrat beispielsweise im März 2020 von der Arpage AG informiert worden, dass seit Jahresbeginn di-

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÔB

Confederazione Svizzera

Confederaziun svizra verse Verbesserungen an der Plattform durchgeführt worden seien und die Eingabe zur Zertifizierung gemäss Medizinprodukteverordnung (MDR) — welche unter anderem verschiedene Sicherheitsmassnahmen beinhaltet — laufe.

Der Stiftungsrat habe aufgrund der Informationen der Arpage AG zu keinem Zeitpunkt Anhaltspunkte für Mängel bei der Entwicklung oder beim Betrieb der Plattform gehabt. Zuletzt seien während dem laufenden Betrieb der Plattform am 18. Januar 2021 durch einen Vertreter des Stiftungsrates direkt bei der Arpage AG vor Ort Informationen eingeholt worden. Die Fragen hätten unter anderem den Sicherheitsstandard im Rechenzentrum, die Zugänge zur Plattform, den Patch-Level der Komponenten, die Verschlüsselung der Daten sowie durch Externe durchgeführte Sicherheitschecks betroffen. Alle Fragen seien durch den Geschäftsführer der Arpage AG positiv beantwortet worden. So sei beispielsweise das Rechenzentrum nach ISO/IEC 270001-Standard betrieben worden. Die Komponenten seien anlässlich des Wechsels der betroffenen Personen erst kürzlich aktualisiert und die Daten seien verschlüsselt worden. Weiter führe die EEE ER öcH ent\iche Kontrollen sowie regelmässige Penetrationstests durch. Auf Grund dieser Antworten, aber auch aufgrund der engen Zusammenarbeit mit Spezialisten beim Bundesamt für Gesundheit (BAG) sowie der anstrebten MDR-Zertifizierung sei der Stiftungsrat von einem «Best Practice»-Betrieb sowie einer angemessen gewährleisteten Daten und IT-Sicherheit ausgegangen.

2.3.2. Schwachstellentests

Im Zeitraum vom 29. März 2021 bis 9. April 2021 hat das Unternehmen Compass Security Schweiz AG in Form eines dokumentierten und dem EDÖB vorliegenden Audits die Sicherheit der meineimpfungen.ch Plattform und des integrierten myCOVIDvac Moduls analysiert und die Plattform auf Schwachstellen geprüft. Dabei wurden insgesamt 59 Schwachstellen identifiziert.

Im Zeitraum vom 20. April 2021 bis zum 3. Mai 2021 wurden 23 der 59 identifizierten Schwachstellen ebenfalls durch die Firma Compass Security Schweiz AG einer Nachprüfung unterzogen und die Ergebnisse dazu, zusammen mit den Ergebnissen der Initialprüfung, im Bericht [1] vom

7. Mai 2021 zusammengefasst. Es wurde festgehalten, dass «[a]lle der zuvor identifizierten kritischen Schwachstellen [...] behoben» worden seien.

2.3.3. Monitoring und Patchen

In der Regel sollte durchgehend überwacht werden, ob alle Sicherheitseinstellungen korrekt sind. Ausserdem sollte die zuständige Person (vorliegend die Arpage AG) überwachen, ob alle Patches und Updates ordnungsgemäss eingespielt wurden. Das aktive Monitoring wird in der Praxis in die allgemeine Systemüberwachung integriert.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Offentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

56 Gestützt auf den Bericht (Dokument [1]) existiert kein aktives Monitoring und damit auch keine Alarmierung"*. Die gesammelten Loginformationen werden nicht automatisiert ausgewertet, um bei Auffälligkeiten eine automatische Alarmierung auszulösen. Vor diesem Hintergrund können und konnten allfällige Angriffe oder Angriffsversuche nicht oder nur mit Verspätung erkannt werden. Im Weiteren verwendet die Applikation veraltete Komponenten von Drittherstellern, welche anfällig für bereits bekannte Schwachstellen sind und/oder nicht mehr unterstützt werden. ">

57 Der EDÖB befragte die Stiftung, ob es bereits in der Vergangenheit Ereignisse gegeben habe, welche durch das Monitoring entdeckt und gegebenenfalls mitigiert (z.B. abgewehrt) werden konnten, und baten, falls dies bejaht würde, um Erläuterungen, wie die Wirksamkeit des Monitorings beurteilt wurde und ob bei diesen Ereignissen Hinweise Bestanden, dass die Datenintegrität verletzt wurde (z.B. Zugriff und Änderungen durch Unbefugte).

58 Gemäss der Stiftung habe der Geschäftsführer der Arpage AG für den Zustand während dem laufenden Betrieb der Plattform folgende Angaben geliefert:

«Hier muss zwischen [dem] altem Teil von meineimpfungen.ch und dem Zusatzteil myCOVIDvac unterschieden werden. Im alten Teil sind keine Mechanismen zur Erkennung von Integritätsverletzungen eingebaut gewesen; im MyCOVIDvac-Teil sind Daten im Audit-Trail-Verfahren abgelegt worden.» Gemäss Auskunft des Chief Operation Officer «seien drei Fälle bekannt geworden, wo Handhabungsfehler von Fachpersonen durch Privatpersonen gemeldet wurden, denen nachgegangen wurde. Eine umfassende Suche aller Tickets hat bis dato nicht stattgefunden. »

59 Die obenstehende Antwort bestätigt aus Sicht des EDÖB, dass wie bereits auch im Bericht (Dokument [1]) ausgeführt, keine Zugriffskontrollen implementiert sind. Das bedeutet, dass Unbefugte ohne Weiteres Zugriff auf vorhandene Daten gehabt haben können. Diese Feststellung ist allerdings aufgrund der — wie sogleich in Abschnitt 0 beschriebenen — kurzen Aufbewahrungsdauer der Log-Dateien nicht überprüfbar. Das heisst, es kann weder nachgewiesen werden, dass Zugriffe stattgefunden haben, noch kann nachgewiesen werden, dass keine Zugriffe stattgefunden haben.

2.4. Protokollierung / Logging

60 Der Bericht (Dokument [1]) weist verschiedene Mängel bezüglich Logging aus:

*4 Bericht [1]; Seite 20; Nr. 36; Referenz 4.2 #12. +8 Bericht [1], Seite 16; Nr. 22; Referenz 4.3.3 #2.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

- Schwachstelle Nr. 21: Die gesammelten Logdateien werden grundsätzlich nur für 30 Tage aufbewahrt.

- Schwachstelle Nr. 35: Die Logdateien werden nicht an einer zentralen Stelle gesammelt und sind nicht vor Manipulationen geschützt.

- Schwachstelle Nr. 36: Die gesammelten Loginformationen werden nicht automatisch ausgewertet um bei einer Anomalie eine automatische Alarmierung auszulösen.

61 Im Bericht (Dokument [1]) wird weiter festgehalten, dass — aus forensischer Sicht — keine auswertbaren Log-Daten vorhanden sind, da die Quantität und Qualität der wenigen vorhandenen Log- Daten unzureichend sind. Infolgedessen kann keine forensische Analyse durchgeführt werden, um festzustellen, ob in der Vergangenheit Daten unautorisiert gelesen, modifiziert oder gelöscht worden sind. Die Stiftung beantwortete die Anfrage nach der Zustellung sämtlicher sachdienlicher Belege und Beschreibungen wie folgt:

Der erwähnte Geschäftsführer habe zu diesen vier Fragen wie folgt Stellung genommen: «Die in der Frage erwähnte Veröffentlichung der Schwachstelle im Artikel des Onlinemagazins Republik vom 22.3.21 wurde analysiert. Daraufhin wurde sofort die Plattform vom Internet getrennt. Danach wurden Loganalysen durchgeführt, welche im Dokument «[...] Incident Report GTA [...)» beschrieben sind.

(Das erwähnte Dokument beziehungsweise der erwähnte «Incident Report GTA» liegt unserer Mandantin noch nicht in einer fertiggestellten Fassung vor.)

Unabhängig davon ergriff der Stiftungsrat unserer Mandantin unmittelbar nach den koordinierten Medienanfragen verschiedene Massnahmen. So wurden insbesondere ein Krisenmanagement- Team, von der Arpage AG unabhängige Fachpersonen sowie die Compass Security Schweiz AG beauftragt, um die Angelegenheit zu bewältigen.»

62 Der EDÖB hat am 24. Juni 2021 den Eingang der beantworteten Fragen bestätigt und auf die Wichtigkeit des erwähnten Dokumentes «Incident Report GTA» hingewiesen bzw. darum gebeten, dieses dem EDÖB für seine Beurteilung zugänglich zu machen. Die Stiftung antwortete dem EDÖB am 28. Juni 2021, dass das Dokument weiterhin nicht vorhanden ist. Folglich konnte der EDÖB die entsprechenden Inhalte nicht in die vorliegende Beurteilung einfliessen lassen.

2.5. Datenintegrität

63 Die Auswertung des Ergebnisreports (vgl. FN 7) zeigte, dass die Veränderung von Daten durch Unbefugte auf verschiedene Weise und mit einfachen Mitteln denkbar gewesen wäre. Daher

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

wurde der Fokus der Untersuchung des EDÖB auf die Richtigkeit der Daten und somit die Datenintegrität gelegt.

64 Die Abklärung zur Datenintegrität soll feststellen, ob solche Manipulationen identifiziert wurden;

letztlich wollte der EDÖB abklären, wie gross das verbleibende Risiko ist, falls die Daten erneut

einer Bearbeitung zugeführt werden würden (z.B. durch eine Nachfolgeplattform, Übernahme

durch Dritte) und die Richtigkeit der Daten nicht mehr gegeben ist.

65 Die Feststellungen des EDÖB basieren auf drei Grundlagen:

Aussagen aus der ersten Stellungnahme vom 26. März, insb. die Aussage auf S. 2:

«Unsere Mandantin geht gemäss dem aktuellen Kenntnisstand davon aus, dass die gemeldeten Schwachstellen ausschliesslich im Zusammenhang mit dem Bericht beziehungsweise mit der Berichterstattung der «Republik» ausgenutzt wurden und kein Missbrauch durch sonstige Dritte stattfand. Dieser Kenntnisstand geht insbesondere auf die Auswertung der protokollierten Nutzung der Plattform durch Fachpersonen zurück.»

Der EDÖB verlangte weitere Informationen und Aussagen, um die Datenintegrität zu beurteilen. Er hat der Stiftung am 4. Juni 2021 einen Fragekatalog zukommen lassen. Die am 23. Juni 2021 erhaltenen Antworten waren nur zum Teil aussagekräftig. Die Stiftung legt darin dar, dass vor der koordinierten Medienanfrage vom 21. März 2021 keine Verdachtsfälle gemeldet wurden. Zudem wurde eine am 29. März 2021 erfolgte Meldung an die Stiftung, dass Daten der Plattform meineimpfungen.ch im Darknet zum Download verfügbar stünden,nach Abklärungen der Kantonspolizei Zürich und der beauftragten scip AG als Falschmeldung gewertet.

Weitere Informationen zur Form und Methode der Untersuchung des Ereignisses und inwiefern identifizierte Zugriffe von Unbefugten zu Manipulationen geführt haben können, wurden durch die Stiftung nicht angegeben.

Der Schwachstellenbericht von Compass Security Schweiz AG (Dokument [1]) enthält folgende Aussage in Bezug auf die Datenintegrität resp. möglicher Risiken mit Einfluss auf jene!

«Konkret konnten die Schwachstellen unter anderem von einem Angreifer verwendet werden, um beliebige Patienten-Konten oder Fachpersonen-Konten zu kompromittieren und anschliessend sämtliche auf der Plattform gespeicherten Daten zu lesen, verändern und löschen. Ausserdem wurden grobe Verletzungen von aktuellen Security Best Practices festgestellt.

Auch im neu entwickelten myCOVIDvac Modul wurden mehrere kritische Schwachstellen entdeckt, die nicht aus Altlasten der meineimpfungen.ch Plattform stammen. Zum Beispiel

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra konnte eine Fachperson unautorisiert die persönlichen und medizinischen Daten von allen Patienten einsehen. Somit muss ein Angreifer nur eine einzelne Fachperson kompromittieren, um sämtliche Daten auszulesen. Die neue Impfbestätigung ("Immunization Record") Funktionalität wurde ausserdem unsicher implementiert. Ein Angreifer konnte auf triviale Art und Weise beliebige gefälschte Impfbestätigungen ausstellen, welche anschliessend von der Plattform als authentisch anerkannt wurden.

Zusammenfassend lässt sich in Bezug auf die Datenintegrität festhalten, dass weder die Plattform meineimpfungen noch das Modul myCOVIDvac die Vertraulichkeit und Integrität der besonders schützenswerten Benutzerdaten garantieren können.»

3. Rechtliche Würdigung und Empfehlungen

3.1. Datensicherheit und insb. Datenintegrität

Gemäss Art. 7 DSG iVm Art. 8ff. VDSG müssen Personendaten durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden. Wer Daten bearbeitet, hat für die Vertraulichkeit, die Verfügbarkeit und die Integrität der Daten zu sorgen.

Der EDÖB hat die Aussagen des Berichts (Dokument [1]) sowie die Antworten der Stiftung in Dokument [8] geprüft und analysiert. Der Bericht qualifiziert die Plattform als veraltetes System, welches über Jahre gewachsen und nicht gegen aktuelle Sicherheitsbedrohungen geschützt sei. Basierend auf dieser nachvollziehbaren Einschätzung, geht der EDÖB zum aktuellen Zeitpunkt davon aus, dass grundsätzlich weder die Plattform noch einzelne Komponenten davon in Zukunft sicher betrieben werden können. Mit Blick auf die Bearbeitung von besonders schützenswerten Personendaten in der Plattform meineimpfungen.ch und dem Modul «myCOVIDvac» und verbunden mit den im Bericht (Dokument [1]) dargelegten Befunden, teilt der EDÖB die Schlussfolgerungen des Berichts, dass auch das Modul «myCOVIDvac» direkt von den Schwachstellen der Plattform betroffen ist.

Da im Verlauf der Untersuchung bekannt wurde, dass die Plattform nicht mehr in der bestehenden Form in Betrieb genommen wird, erübrigen sich an dieser Stelle Empfehlungen zur Datensicherheit im Allgemeinen.

Wer Personendaten bearbeitet, hat sich überdies über deren Richtigkeit zu vergewissern (Art. 5 DSG). Vorliegend bestehen bezüglich der Datenintegrität Vorbehalte. Die Stiftung kann nicht belegen, inwiefern sie beurteilen konnte, ob die Daten nicht durch Unbefugte manipuliert worden sind. Mit anderen Worten kann der EDÖB nicht nachvollziehen und überprüfen, ob die Datenintegrität

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Offentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

noch gegeben ist. Folglich geht der EDÖB davon aus, dass die Datenintegrität Risiken ausgesetzt war und möglicherweise nicht mehr gegeben ist.

70 Der EDÖB stützt seine Beurteilung der Datenintegrität, respektive das Risiko von möglichen Manipulationen durch Unbefugte auf folgende Feststellungen:

1. Die im Bericht (Dokument [1]) festgestellten Schwachstellen waren kritisch.

2. Das Interesse an der Plattform meineimpfungen.ch stieg spätestens mit dem öffentlichen Bekanntwerden des Engagements des BAG bei der Plattform und mit dem Modul «myCO- VIDvac» zur Dokumentation von Covid-19-Impfungen (vgl. oben Rz 11). Auch die Untersuchung durch die «Republik» zeigen, dass die Plattform und das zusätzliche Modul im Fokus standen und der breiten Öffentlichkeit bestens bekannt waren. Diese ausgeprägte Sichtbarkeit erhöhte das Risiko, dass der Fokus von Unbefugten auf die Plattform der Stiftung und damit auch die technische Umsetzung gelenkt worden sein könnte.

3. Sicherheitsverstösse und -lücken können jederzeit vorkommen, deswegen sind auch Untersuchungen jederzeit erforderlich. Angriffe werden in der Praxis oft auch über einen langen Zeitraum verübt. Aus diesem Grund ist die Analyse von Protokollen notwendig. Die festgestellten Mängel bei der Protokollierung (vgl. oben Abschnitt 0) erlauben jedoch keine Aussage zu möglichen unbefugten Zugriffen auf die Plattform meineimpfungen.ch. So können wegen der kurzen Aufbewahrungsfrist bei den Protokollen von nur 30 Tagen keine Aussagen über unbefugte Zugriffe während der Phase von Dezember 2020 bis Februar 2021 gemacht werden. Dies hat zur Folge, dass nicht ausgeschlossen werden kann, dass Personendaten (Impfdaten) auf der Plattform meineimpfungen.ch sowie im Modul «myCOVIDvac» vor Februar 2021 manipuliert wurden.

4. Eine umfassende Beurteilung der Datenintegrität, ohne anderweitige Informationen, war somit bereits bei Bekanntwerden der Schwachstellen durch die Republik nicht mehr möglich.

Die Betreiber konnten bislang, abgesehen von der bereits aufgeführten Pauschalaussage (vgl. Rz 65), nicht darlegen, ob die Untersuchung der Datenintegrität effektiv war und konnten zudem keine weiteren Sachverhalte vorbringen, welche diese belegen würden.

Empfehlung 1 zur Richtigkeit der Daten

Die Stiftung meineimpfungen muss vor jeder weiteren Datenbearbeitung die Richtigkeit der über die Plattform meineimpfungen.ch (einschliesslich Modul «myCOVIDvac») gespeicherten Daten sicherstellen.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

3.2. Auskunfts-, Löschungs- und Berichtigungsrechte

Gemäss Art. 8 DSG kann jede Person Auskunft darüber verlangen, welche Daten über sie gespeichert sind, und diese — wenn gewünscht — löschen (Art. 12 Abs. 2 Bst. b DSG) oder korrigieren (Art. 5 Abs. 2 DSG) lassen.

Das Auskunftsrecht ermöglicht es, die Kontrolle über die eigenen Personendaten zu behalten, wobei jede Person selber aktiv werden muss, um dieses Recht wahrzunehmen. Wer beim Inhaber einer Datensammlung Auskunft über die über ihn bearbeiteten Daten verlangt oder diese berichtigen bzw. löschen lassen will, muss seine Anfrage nicht begründen. Die Auskunft muss grundsätzlich kostenlos innerhalb von 30 Tagen erteilt werden (Art. 1 VDSG). Nur in bestimmten Ausnahmefällen dürfen Kosten erhoben werden bzw. ein Auskunftsgesuch mit Kosten verbunden werden.

Die Erhebung einer Kostenbeteiligung wurde vom Gesetzgeber bewusst als Ausnahme konzipiert, um die Auskunftserteilung nicht aus finanziellen Gründen zu erschweren oder gar zu verunmöglichen. Ein besonders grosser Arbeitsaufwand liegt dann vor, wenn der erforderliche Aufwand erheblich grösser ist als derjenige, welcher normalerweise mit dem Hervorholen und Kopieren eines Dossiers oder einzelner Aktenstücke aus einem solchen verbunden ist. Das trifft etwa dann zu, wenn die Daten lediglich zu statistischen Zwecken bearbeitet und wenn sie teilweise anonymisiert aufbewahrt werden, oder wenn die Auskunft langwierige Nachforschungen erfordert, was insbesondere der Fall ist, wenn die Datensammlung manuell geführt wird und auf mehrere Dossiers verweist.

Der EDÖB ist vorliegend der Auffassung, dass kein entsprechender Ausnahmegrund gegeben ist, zumal der Mehraufwand für die Verifikation der Auskunftsersuchenden nicht durch die Benutzerinnen und Benutzer selbst verursacht worden ist. Dementsprechend hat die Stiftung den gesuchstellenden Personen den besagten Kostenaufwand zurückzuerstatten, was sich wie folgt auch in den Empfehlungen wiederspiegelt.

Empfehlung 2 zu den Auskunfts-, Löschungs- und Berichtigungsrechten

Die Stiftung meineimpfungen reagiert gegenüber den Nutzerinnen und Nutzern, welche ein Auskunfts- oder Löschungsbegehren stellen, innert angemessener Frist und ersetzt ihnen die entstandenen Kosten für die beglaubigten Ausweiskopien.

Weiter informiert die Stiftung meineimpfungen die Betroffenen über die mögliche Beeinträchtigung der Datenrichtigkeit.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

3.3. Mögliche definitive Einstellung der Plattform

Die Stiftung meineimpfungen kommunizierte am 27. Mai 2021 auf ihrer Webseite, dass die Plattform in der bisherigen Form und mit der bisherigen Funktionalität nicht mehr in Betrieb genommen werde.

Die für die Datenbearbeitung verantwortliche Stiftung hat die datenschutzrechtlichen Anforderungen auch im Falle einer Einstellung der ursprünglichen Plattform zu berücksichtigen. Insbesondere hat sie sicherzustellen, dass die Daten weiterhin gegen unbefugte Zugriffe geschützt und

nicht einem anderen als dem ursprünglichen Zweck zugeführt werden.

Soweit die erwähnte Kommunikation der Stiftung als definitive Einstellung der Plattform zu verstehen ist, hat sie insbesondere die Frage zu klären, was mit den über die Plattform gespeicherten Personendaten, d.h. den von den Nutzerinnen und Nutzern hinterlegten Daten über deren Impfungen geschehen soll. Die Betroffenen sind im Sinne des Erkennbarkeitsprinzips (Art. 4 Abs. 4 DSG) transparent darüber zu informieren.

Empfehlung 3 zur definitiven Einstellung der Plattform

Im Falle einer ganzen oder teilweisen Einstellung der Plattform meineimpfungen.ch informiert die Stiftung meineimpfungen die Betroffenen über den Ablauf und die technische Umsetzung der Einstellung.

Weiter weist die Stiftung meineimpfungen gegenüber den Betroffenen nach, welche Massnahmen ergriffen werden, um die datenschutzrechtlichen Anforderungen an die Einstellung zu erfüllen, insb. hinsichtlich der Frage, was mit den Personendaten der Plattform einschliesslich der besonders schützenswerten Personendaten (Impfdaten) geschieht.

Schweizerische Eidgenossenschaft Eldgenéssischer Datenschutz- und Offentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

4. Verfahrensabschluss

Wie aus der vorstehenden Chronologie (Ziff. 1.2) hervorgeht, konnten bei der Feststellung des Sachverhalts alle Eingaben, Korrespondenzen und Publikation bis zum Stichtag vom 7. Juli 2021 berücksichtigt werden.

Am 26. Juli 2021 legte der EDÖB den vorliegenden Abschlussbericht samt rechtlicher Würdigung und Empfehlungen (Ziff. 2 und 3) der Stiftung meineimpfungen zur Prüfung und Stellungnahme vor. Innerhalb von 30 Tagen nach Erhalt musste die Stiftung dem EDÖB mitteilen, ob sie die Stellungnahme und die Empfehlungen akzeptiert.

Nach Ansicht des EDÖB besteht ein allgemeines Interesse daran, die Öffentlichkeit im vorliegenden Fall über seine Feststellungen und Empfehlungen gestützt auf Art. 30 Abs. 2 DSG zu informieren. Die Stiftung wurde deshalb aufgefordert innerhalb der genannten Frist mitzuteilen, ob sie aus Gründen des Persönlichkeitsschutzes oder von Geschäftsgeheimnissen Änderungen oder Abdeckungen des Schlussberichts beantrage.

Mit Schreiben vom 18. August 2021 teilte die Stiftung dem EDÖB mit, dass sie die Empfehlungen akzeptiere. Mit Blick auf die Publikation beantragte sie in Ihrer Stellungnahme zudem einige formale Anpassungen, die in der vorliegenden Fassung des Berichts vollumfänglich berücksichtigt werden konnten.

Anlass zu materiellen Bemerkungen seitens der Stiftung gab einzig Randziffer 46 des vorliegenden Berichts, welche entsprechend ergänzt worden ist.

Wie die in diesen Empfehlungen formulierten Vorgaben konkret umgesetzt werden, liegt in der Verantwortung der Stiftung meineimpfungen. Im Rahmen der weiteren Zusammenarbeit und allfälligen Nachkontrollen kann der EDÖB entsprechende Umsetzungsvorschläge der Stiftung auf deren Datenschutzkonformität hin prüfen.

Nach Abschluss der Feststellung des Sachverhalts teilte die Stiftung die Liquidation und Einstellung ihrer Tätigkeit an. Das BAG sucht mit der Stiftung zurzeit nach Lösungen, damit die gesetzlichen Ansprüche auf Auskunft, Berichtigung und Löschung der Kundinnen und Kunden trotz Einstellung der Aktivitäten der Stiftung erfüllt werden können. Der EDÖB unterstützt das BAG dahingehend, dass diese Lösungen sowohl in rechtlicher als auch technischer Sicherheit datenschutzkonform umgesetzt werden können.

Schweizerische Eidgenossenschaft Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Confédération suisse EDÖB

Confederazione Svizzera

Confederaziun svizra

85 Der vorliegende Bericht wird gestützt auf Art. 30 Abs. 2 DSG publiziert.

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

D es

Adrian Lobsiger