Verordnung
über den Pilotversuch mit dem «Swiss Proximity-Tracing-
System» zur Benachrichtigung von Personen, die potenziell
dem Coronavirus (Covid-19) ausgesetzt waren
(Covid-19-Verordnung Pilotversuch Proximity-Tracing)

Der Pilotversuch dient dem Testen und der Evaluation des SPTS im Hinblick auf dessen definitive Einführung.

Zu testen und zu evaluieren sind insbesondere:

1. die neu entwickelten Lösungsansätze hinsichtlich der Dezentralität der Datenbearbeitung und der kryptografischen Methoden;

2. die Stabilität des Betriebs;

3. die Absicherung gegen unbeabsichtigte oder unbefugte Manipulationen;

4. die Nutzerfreundlichkeit;

Das SPTS und die mit ihm bearbeiteten Daten dienen dazu:

1. die Teilnehmenden, die potenziell dem Coronavirus ausgesetzt waren, unter Wahrung des Datenschutzes zu benachrichtigen;

2. Statistiken im Zusammenhang mit dem Coronavirus zu erstellen.

Sie dürfen nicht zu anderen Zwecken verwendet werden, insbesondere nicht zur Anordnung und Überprüfung von Massnahmen durch kantonale Behörden nach den Artikeln 33–38 EpG.

Das SPTS umfasst folgende Komponenten:

1. ein System zur Verwaltung der Annäherungsdaten (VA-System), bestehend aus einer Software, die von den Teilnehmenden auf ihren Mobiltelefonen installiert wird (App), und einem Backend (VA-Backend);

2. ein Codeverwaltungssystem, bestehend aus einem webbasierten Frontend und einem Backend.

Das VA-Backend und das Codeverwaltungssystem werden als zentrale Server vom Bundesamt für Gesundheit (BAG) betrieben.

Der Kreis der möglichen Teilnehmenden am Pilotversuch beschränkt sich auf folgende Personengruppen:

1. Angehörige der Schweizer Armee im Ausbildungs-, Assistenz- und Aktivdienst;

2. Mitarbeitende von Hochschulen;

3. Mitarbeitende von Spitälern und Kliniken;

4. Mitarbeitende von kantonalen Verwaltungen und der Bundesverwaltung;

5. Mitglieder von Vereinigungen, die Beiträge an die Qualitätsverbesserung des Systems leisten wollen.

Das BAG stellt diesen Institutionen und Vereinigungen zuhanden der Teilnehmenden die notwendigen Informationen und den technischen Zugang, über den die App durch die Personen nach Absatz 1 heruntergeladen werden kann, zur Verfügung.

Die Installation der App und der Einsatz des SPTS sind für die Teilnehmenden freiwillig.

Die Benachrichtigung der Teilnehmenden, die potenziell dem Coronavirus ausgesetzt waren, erfolgt nur mit der ausdrücklichen Einwilligung der infizierten Person.

Bei der Datenbearbeitung sind alle angemessenen technischen und organisatorischen Massnahmen zu treffen, um zu verhindern, dass die Teilnehmenden bestimmbar sind.

Die Daten, die auf dem Mobiltelefon einer oder eines Teilnehmenden über andere Teilnehmende erfasst werden, werden ausschliesslich auf diesem Mobiltelefon bearbeitet und gespeichert.

Im SPTS werden keine Standortdaten beschafft oder in anderer Art und Weise bearbeitet.

Der Quellcode und die technischen Spezifikationen aller Komponenten des SPTS sind öffentlich.

Die Bundesgesetzgebung über den Datenschutz ist anwendbar.

Das VA-Backend stellt im Grundbetrieb den Apps seinen Inhalt im Abrufverfahren zur Verfügung. Dieser besteht aus einer Liste mit folgenden Daten:

1. den privaten Schlüsseln der infizierten Teilnehmenden, die in dem Zeitraum aktuell waren, in dem eine Ansteckung von anderen Personen wahrscheinlich war (relevanter Zeitraum);

2. dem Datum jedes Schlüssels.

Die App erfüllt folgende Funktionen:

1. Sie generiert jeden Tag einen neuen privaten Schlüssel, der keine Rückschlüsse auf die App und die Teilnehmende oder den Teilnehmenden ermöglicht.

2. Sie sendet über Bluetooth kontinuierlich einen nach jeweils fünfzehn Minuten wechselnden Identifizierungscode aus, der aus dem aktuellen privaten Schlüssel der App abgeleitet wird, aber nicht auf diesen Schlüssel zurückgeführt werden kann, und der keine Rückschlüsse auf die App und die Teilnehmende oder den Teilnehmenden ermöglicht.

3. Sie prüft kontinuierlich, ob von anderen Mobiltelefonen ausgesendete kompatible Signale empfangen werden. Beträgt die Annäherung zu einem anderen Mobiltelefon zwei Meter oder weniger, so speichert die App dessen aktuellen Identifizierungscode, die Signalstärke, das Datum und die geschätzte Dauer der Annäherung. Die Annäherung wird aufgrund der Stärke der empfangenen Signale geschätzt.

4. Sie ruft vom VA-Backend periodisch die Liste der privaten Schlüssel der infizierten Teilnehmenden ab, ermittelt daraus die zugehörigen Identifizierungscodes gemäss Buchstabe b und gleicht die Identifizierungscodes mit den von ihr lokal gespeicherten Identifizierungscodes ab.

5. Ergibt der Abgleich eine Annäherung von zwei Metern oder weniger zu mindestens einem Mobiltelefon einer infizierten Teilnehmenden oder eines infizierten Teilnehmenden und erreicht die Summe der Dauer aller solchen Annäherungen innerhalb eines Tages fünfzehn Minuten, so gibt die App die Benachrichtigung aus.

Im Fall einer Infektion generieren die zugriffsberechtigten Fachpersonen im Codeverwaltungssystem einen einmaligen und zeitlich begrenzt gültigen Freischaltcode. Zusätzlich erfassen sie im Codeverwaltungssystem den Zeitpunkt des Auftretens der ersten Symptome oder, falls die infizierte Person keine Symptome zeigt, das Testdatum.

Die zugriffsberechtigten Fachpersonen geben den Freischaltcode der oder dem infizierten Teilnehmenden bekannt. Diese oder dieser kann den Freischaltcode in ihre oder seine App eingeben.

Das Codeverwaltungs-Backend bestätigt gegenüber der App die Gültigkeit des eingegebenen Codes. Vom Datum, das die zugriffsberechtigte Fachperson nach Absatz 1 eingegeben hat, zieht es höchstens drei Tage ab. Das resultierende Datum gilt als Beginn des relevanten Zeitraums. Das Codeverwaltungs-Backend übermittelt dieses Datum der App der infizierten Person.

Die App der infizierten Person übermittelt dem VA-Backend die privaten Schlüssel, die im relevanten Zeitraum aktuell waren, mit dem jeweiligen Datum.

Das VA-Backend setzt die erhaltenen privaten Schlüssel mit ihrem jeweiligen Datum auf seine Liste.

Die App erzeugt nach der Meldung einer Infizierung einen neuen privaten Schlüssel. Von diesem kann nicht auf frühere private Schlüssel zurückgeschlossen werden.

Die Benachrichtigung umfasst:

1. die Information, dass die oder der Teilnehmende potenziell dem Coronavirus ausgesetzt war;

2. die Angabe, an welchem Tag dies zum letzten Mal der Fall war;

3. Verhaltensempfehlungen des BAG.

Das SPTS macht den Teilnehmenden keinerlei Vorgaben. Es informiert weder über Massnahmen der zuständigen kantonalen Behörden nach den Artikeln 33–38 EpG noch über Zugangsmöglichkeiten zu Virusnachweis-Tests.

Das BAG kann Dritte beauftragen, die Liste mit den Daten nach Artikel 10 Absatz 1 den Apps im Abrufverfahren zur Verfügung zu stellen.

Die Dritten müssen sich verpflichten, die Vorgaben nach dieser Verordnung einzuhalten.

Das BAG kontrolliert die Einhaltung der Vorgaben.

Den Freischaltcode können folgende Personen ausgeben:

1. Kantonsärztinnen und Kantonsärzte;

2. der Oberfeldarzt der Armee;

3. andere Mitarbeiterinnen und Mitarbeiter der kantonsärztlichen Dienste oder des militärärztlichen Dienstes der Armee;

4. die von den kantonsärztlichen Diensten oder vom militärärztlichen Dienst der Armee beauftragten Dritten;

5. die behandelnde Ärztin oder der behandelnde Arzt und deren Hilfspersonen.

Die Anmeldung im Codeverwaltungssystem erfolgt über das zentrale Zugriffs- und Berechtigungssystem der Bundesverwaltung für Webapplikationen. Die Bestimmungen der Verordnung vom 19. Oktober 2016⁵ über Identitätsverwaltungs- Systeme und Verzeichnisdienste des Bundes sind anwendbar.

Das BAG erteilt und verwaltet die Zugriffsrechte für das Codeverwaltungssystem. Den Kantonsärztinnen und Kantonsärzten sowie dem Oberfeldarzt der Armee erteilt es die Berechtigung zur Vergabe von Zugriffsrechten an ihre Hilfspersonen.

Auf die Speicherung und Auswertung der Protokolle über die Zugriffe auf das VA- Backend und das Codeverwaltungssystem sind die Artikel 57i–57q des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997⁶ und die Verordnung vom 22. Februar 2012⁷ über die Bearbeitung von Personendaten, die bei der Nutzung der elektronischen Infrastruktur des Bundes anfallen, anwendbar.

Über diese Protokolle und die Aufzeichnung von Annäherungen hinaus zeichnet das SPTS keine Protokolle von Aktivitäten der Frontends und Apps auf.

Die Daten des VA-Systems werden sowohl auf den Mobiltelefonen als auch im VA-Backend 21 Tage nach ihrer Erfassung vernichtet.

Die Daten des Codeverwaltungssystems werden 24 Stunden nach ihrer Erfassung vernichtet.

Protokolldaten von nach Artikel 13 beauftragten Dritten werden 7 Tage nach ihrer Erfassung vernichtet.

Im Übrigen richtet sich die Vernichtung der Protokolldaten nach Artikel 4 Absatz 1 Buchstabe b der Verordnung vom 22. Februar 2012⁸ über die Bearbeitung von Personendaten, die bei der Nutzung der elektronischen Infrastruktur des Bundes anfallen.

Die dem BFS zur Verfügung gestellten Daten werden ebenfalls gemäss diesem Artikel vernichtet.

Das EDI informiert laufend zuhanden des Bundesrates und der Bundesversammlung über den Pilotversuch.

Es erstattet dem Bundesrat spätestens einen Monat nach Ablauf des Pilotversuchs Bericht über den Versuch.

Dringliche Veröffentlichung vom 13. Mai 2020 im Sinne von Art. 7 Abs. 3 des Publikationsgesetzes vom 18. Juni 2004 (SR 170.512).