20. Wahlperiode                                                                       Drucksache 20/2743 HESSISCHER LANDTAG                                                                               23. 06. 2020 Kleine Anfrage Rolf Kahnt (AfD) vom 12.05.2020 hessenWarn und Antwort Minister des Innern und für Sport Vorbemerkung Fragesteller: Seit dem 5. November 2019 ist hessenWARN die offizielle „Warn- und Informations-App“ des Landes Hessen. Sie ersetzt das bis dahin auf Bundesebene funktionierende Warn- und Informationssystem „KATWARN“. Bei beiden Systemen handelt es sich um eine App, die über die jeweiligen App-Stores auf Smartphones installiert werden kann, die Nutzer werden mittels Push-Meldungen u.a. über lokale Gefahrenlagen und Mitteilungen der Behörden informiert. hessenWARN, das technologisch auf KATWARN aufbaut, wurde in Kooperation des Hessischen Ministeriums des Innern und für Sport mit dem Fraunhofer Institut für Offene Kommunikations- systeme entwickelt. hessenWarn bietet im Vergleich zu KATWARN weitergehende, freiwillig zubuchbare In- formationsangebote, wie z. B. Produktwarnungen und Hinweise auf Cyberkriminalität. Bis zu der Einführung von hessenWARN wurde KATWARN in Hessen von rund 600.000 Menschen genutzt. Um hessenWARN nutzen zu können, muss KATWARN vorher deinstalliert werden. Eine Funktion der hessischen Warn- und Informations-App ist die sogenannte „Schutzengel-Funktion“, bei der gemäß Website des Hessischen Ministeriums des Innern und für Sport „Ihr Aufenthaltsort in der App automa- tisch kontinuierlich und anonymisiert aktualisiert wird. (…) Darüber hinaus verfügt die App über eine Notruf- Funktion mit Positionsübermittlung. Diese ermöglicht im Notfall schnellstmöglich ortsgenaue Hilfe anzufor- dern, egal wo Sie sich in Hessen befinden.“ Laut Presseberichten soll hessenWARN bis Sommer ein weiteres Update erhalten. So soll die App via Bluetooth über die Lautsprechereinrichtung des Fahrzeugs einen Hinweis geben, wenn Wildwechsel auf dem bevorste- henden Streckenabschnitt wahrscheinlich sind. (Quelle: Rhein-Main-Zeitung vom 12. Mai 2020) Gemäß Website des Hessischen Ministeriums des Innern und für Sport erfolgt „die Übermittlung der Warnun- gen und Informationen (z.B. Ihr Standort) durch hessenWARN datenschutzfreundlich anhand einer anonymi- sierten Funkzellenlokalisation.“ Vorbemerkung Minister des Innern und für Sport: hessenWARN ist die App für die Sicherheit der Bürgerinnen und Bürger in Hessen und ist eine Weiterentwicklung von Katwarn, die neben der Grundfunktionalität von Katwarn durch den Appnutzenden individuell, durch Aktivierung oder Deaktivierung von Mehrwertdiensten, an seine Bedürfnisse angepasst werden kann. Die frühzeitige Warnung und Information der Bevölkerung kann dazu beitragen, dass ein Schadenseintritt verhindert oder das entsprechende Ausmaß mini- miert und die Effizienz und Effektivität der Gefahrenabwehrbehörden gesteigert wird. Im Jahr 2017 wurde durch das Hessische Ministerium des Innern und für Sport ein Katwarn- Nutzungsrecht erworben und den Polizeibehörden insbesondere zur Nutzung im Rahmen von le- bensbedrohlichen Einsatzlagen zur Verfügung gestellt. Um das hohe Potential des neuen Systems auszuschöpfen, wurde die Nutzung von Katwarn im April 2018 auf weitere Einsatzanlässe wie zum Beispiel Vermisstensuchen oder die Warnung vor lokal vermehrt auftretenden sogenannten „Enkeltrickbetrügern“ ausgeweitet. Innerhalb der folgenden Monate konnten nachweislich meh- rere vermisste Personen durch den Einsatz von Katwarn wohlbehalten aufgefunden werden. Mit der fortlaufenden Weiterentwicklung des Warnsystems wurde ein modularer Aufbau der App implementiert, d.h. Nutzer können selbst entscheiden, welche Funktionalität sie nutzen wollen. Die Warnung und Information der Appnutzenden erfolgt hierbei nur dann, wenn jeweils ein ört- licher Bezug besteht. Hierfür können bis zu sieben Orte in der App voreingestellt werden. Dar- über hinaus gewährleistet die sogenannte „Schutzengel-Funktion“, dass der Nutzende ebenfalls die Warnungen und Informationen bezogen auf seinen aktuellen Standort erhält. Da die Lokalisa- tion des Smartphones über die funkzellenbasierten Ortungsdienste und nicht über das Global Po- sitioning System (GPS) erfolgt, kann lediglich die Funkzelle in der sich ein Smartphone befindet und nicht der genaue Aufenthaltsort bestimmt werden. Eingegangen am 23. Juni 2020 · Bearbeitet am 23. Juni 2020 · Ausgegeben am 27. Juni 2020 Herstellung: Kanzlei des Hessischen Landtags · Postfach 3240 · 65022 Wiesbaden · www.Hessischer-Landtag.de

2                                       Hessischer Landtag · 20. Wahlperiode · Drucksache 20/2743 Die Deinstallation von Katwarn ist nicht Voraussetzung für die Nutzung der hessenWARN-App. Nutzende, die aber beide Systeme auf ihrem Smartphone installiert haben, erhalten aufgrund au- tomatisierter Schnittstellen zum Teil inhaltsgleiche Meldungen über beide Systeme. Im Sinne der Nutzerfreundlichkeit kann daher die Deinstallation von Katwarn sinnvoll sein. Neben den Polizeibehörden verfügen in Hessen derzeit 20 von 26 Landkreisen und kreisfreien Städten über ein Katwarn-Nutzungsrecht. Entsprechende Warnungen und Informationen im Brand- und Katastrophenschutzfall werden somit ebenfalls über hessenWARN und Katwarn an die Bevölkerung versandt. Alle Mehrwertfunktionalitäten von hessenWARN werden den Hessi- schen Landkreisen und kreisfreien Städten durch das Hessische Ministerium des Innern und für Sport unentgeltlich zur Verfügung gestellt. Diese Vorbemerkung des Fragestellers vorangestellt, beantworte ich die Kleine Anfrage wie folgt: Frage 1.     Wie viele Menschen nutzen hessenWARN seit der Einführung im November 2019? Frage 2.     Wie viele Menschen in Hessen nutzen weiterhin KATWARN? Die Fragen 1 und 2 werden aufgrund des Sachzusammenhangs gemeinsam beantwortet. Die Angaben zur Nutzung von Apps beziehen sich regelmäßig auf sogenannte Downloadzahlen. So wurde die hessenWARN-App mehr als 400.000mal heruntergeladen. Hierbei sind jedoch Mehrfachnennungen von Nutzenden möglich, die beispielsweise mehrere Mobiltelefone nutzen oder ein neues erworben haben und die App erneut installieren. Auch werden Nutzende mitge- zählt, die die App bereits deinstalliert haben. Insofern sind die Downloadzahlen regelmäßig höher als die Anzahl der Personen, die eine App tatsächlich nutzen. Aufgrund der verwendeten Technologie von hessenWARN und Katwarn können aktuelle Nutzer- zahlen aber auch anhand der eingeschalteten „Schutzengel-Funktion“ erhoben werden. Hinsicht- lich der diesbezüglichen datenschutzrechtlichen Aspekte wird auf die Beantwortung der nachfol- genden Fragen verwiesen. Über hessenWARN sind derzeit ca. 287.000 Personen erreichbar (Stand 30. April 2020), welche 1 die App insofern aktiv nutzen. Bezogen auf die Einwohnerzahl Hessens können somit ca. 4,6 % der Bürgerinnen und Bürger über hessenWARN erreicht und in lebensbedrohlichen Situationen gewarnt werden. Zusätzlich können über Katwarn weitere 508.000 Personen (ca. 8,1 % der hes- sischen Bevölkerung) erreicht werden. Im Ergebnis ist daher davon auszugehen, dass rund 800.000 Personen und somit ca. 12,8 % der 2 hessischen Bevölkerung mittels hessenWARN und Katwarn erreicht werden können. Frage 3.     Ist bei Nichtaktivierung der „Schutzengel-Funktion“ bzw. der Notruf-Funktion trotzdem eine ano- nymisierte Lokalisation über Funkzellen möglich? Frage 4.     Auf welche Einstellungen bzw. Dienste des Smartphones greift die hessenWARN-App ohne eigenes Zutun und/oder Wissen des Nutzers zu? Frage 5.     Wie wird generell die anonymisierte Nutzung der hessenWARN-App gewährleistet? Frage 6.     Auf welche Weise wird verhindert, dass hessenWARN Bewegungsprofile der Nutzer erkennen oder sogar speichern kann (siehe: „Ihr Aufenthaltsort wird in der App automatisch kontinuierlich und anonymisiert aktuali- siert.“)? Frage 8.     Ist es technisch möglich, hessenWARN als Tracing-App zu verwenden? Die Fragen 3 bis 6 und 8 werden aufgrund des Sachzusammenhangs gemeinsam beantwortet. Bei der Konzeption des hessenWARN-Systems wurde die personenbezogene Datenverarbeitung unter anderem an den gesetzlichen Grundlagen der europäischen Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG), der Bausteine „Datenschutz“ des IT- Grundschutzes sowie dem Hessischen Datenschutz- und Informationsfreiheitsgesetz (HDSIG) aus- gerichtet. hessenWARN liegt ein an den Grundsätzen „Privacy by design“ und „Privacy by default“ orientiertes Gesamtkonzept zugrunde, das mit dem Hessischen Beauftragten für Daten- schutz und Informationsfreiheit abgestimmt ist. „Privacy by design“ (Datenschutz durch Tech- nikgestaltung) und „Privacy by default“ (Datenschutz durch datenschutzfreundliche Voreinstel- lungen) bedeutet, dass die Hard- und Softwarekomponenten von Grund auf so konzipiert und 1 Bezogen auf eine Einwohnerzahl von 6.265.809 zum 31.12.2018; Quelle: Hessisches Statistisches Landesamt 2 Die Nutzerzahlen von hessenWARN und Katwarn entspricht nicht der Summe der Einzelwerte. Es wurde berücksichtigt, dass vereinzelte Personen beide Apps installiert werden. Insofern wurde ein auf Erfahrungen des technischen Dienstleisters basierender Wert in Abzug gebracht.

Hessischer Landtag · 20. Wahlperiode · Drucksache 20/2743              3 entwickelt werden, dass relevante Datenschutzmaßnahmen von Anfang an berücksichtigt werden. Das technische Konzept der App räumt damit dem Datenschutz höchste Priorität ein. Die Einhaltung des Datenschutzes ist im Datenverarbeitungsvorgang technisch integriert. Dies zeigt sich bereits beim Download. So wird beim Herunterladen der App eine zufällige App-ID generiert, die sodann die zur Verfügung stehenden Funktionen nutzen. Hierdurch ist gewährleis- tet, dass keine Rückschlüsse auf Personen oder Telefonnummern möglich sind. Auch erfolgt keine Verknüpfung der App-ID mit personenbezogenen Daten, wie zum Beispiel der ggfs. im Notruf- modul hinterlegten Mobilfunknummer. Es werden nur Daten erhoben, die für den jeweiligen Zweck unbedingt nötig sind und die der Nutzer aktiv bereitgestellt hat. Die hessenWarn-App greift auf keine Einstellungen bzw. Dienste des Smartphones ohne eigenes Zutun und/oder Wissen des Nutzers zu. Bei der Installation stimmt der Nutzer explizit bestimmten, für die Funktion der App notwendigen Einstellungen (z.B. Ortungsdienste für den Schutzengel) zu. Weitere Einstel- lungen und Dienste werden nicht genutzt. Die „Schutzengel-Funktion“ kann jederzeit vom Nutzer aktiviert und deaktiviert werden. Eine Funkzellen-Lokalisation ist bei ausgeschalteter „Schutzengel-Funktion“ nicht möglich. Nur bei eingeschalteter „Schutzengel-Funktion“ erfolgt eine Lokalisation des Nutzers über die netz- werkbasierten Ortungsdienste, die eine geografische Zuordnung eines Mobiltelefons zu einer Funkzelle ermöglichen. Im Rahmen der eingeschalteten „Schutzengel-Funktion“ wird nur die jeweils aktuelle Funkzelle auf den Servern der Warninfrastruktur gespeichert. Die zuvor erhobene Position wird im Kontext der fortlaufenden Aktualisierung immer durch die jeweils neueste über- schrieben. Zusätzlich ist in der App ein „intelligenter“ Algorithmus realisiert, der die Übertra- gung der Geräteposition ausschließlich bei einer signifikanten Ortsänderung zulässt. Eine ständige Übertragung der Geräteposition erfolgt nicht. Durch die Funkzellenzuordnung bei eingeschalteter „Schutzengel-Funktion“ kann das Einsatzge- biet der Rettungskräfte eingegrenzt werden, wodurch eine schnelle Hilfe für die Einsatzkräfte deutlich erleichtert wird. Der Nutzende kann im Einzelfall durch Wählen des Notrufs zudem den genauen Standort über GPS übermitteln. Die Standortdaten werden nicht dauerhaft übertragen, sondern erst zu dem Zeitpunkt, wenn der Nutzer in der App die Notruffunktion wählt. Durch dieses auf den Grundsätzen „Privacy by design“ und „Privacy by default“ basierende Konzept wurde eine Verwendung als sogenannte „Tracing-App“ technisch ausgeschlossen. Dies korreliert mit dem Ziel der App. Ziel der hessenWarn-App ist es, Menschen in Not zu helfen oder vor Schaden zu bewahren, nicht sie zu überwachen. Frage 7.    Wer hat Zugriff auf die Daten der App-Nutzer? Die durch die zufällig erzeugte App-ID pseudonymisierten Daten der App-Nutzer sind in deut- schen Rechenzentren durch den beauftragten Betreiber, der TURMsolutions GmbH (Spin-off von Fraunhofer FOKUS), auf dedizierten Servern gespeichert. Einen Zugriff auf diese Daten haben ausschließlich Mitarbeiter der TURMsolutions GmbH. Die Daten und Server sind nach neuestem Stand der Informationssicherheit durch technische und organisatorische Maßnahmen gegen Miss- brauch, Verlust und Manipulation abgesichert. Ein Zugriff auf diese Daten erfolgt ausschließlich zur Sicherstellung des technischen Betriebes und zur Beantwortung von etwaigen Support-Anfra- gen von Bürgern. Das Hessische Ministerium des Innern und für Sport hat keinerlei Zugang zu diesen Daten. Es erfolgt keine Weitergabe oder andere Verwendung der Daten. Frage 9.    Falls Frage 7 mit „ja“ beantwortet wird, wie und durch wen wird eine missbräuchliche Verwendung verhindert? Es wird davon ausgegangen, dass sich diese Frage auf die Frage 8 bezieht. Da hessenWARN nicht als sogenannte „Tracing-App“ verwandt werden kann, entfällt die Beantwortung. Im Übrigen wird auf die Antwort zu Frage 7 verwiesen: Die Daten und Server sind nach neuestem Stand der Informationssicherheit durch technische und organisatorische Maßnahmen gegen Miss- brauch, Verlust und Manipulation abgesichert. Wiesbaden, 16. Juni 2020 Peter Beuth