Luca (Markenschreibweise luca app) ist eine COVID-19-App zur Datenbereitstellung für eine Kontaktpersonennachverfolgung, um nach Auftreten einer Infektion mit dem Coronavirus SARS-CoV-2 mögliche Infektionsketten nachverfolgen und unterbrechen zu können. Die App kann dazu verwendet werden, um sich etwa beim Besuch eines Restaurants zu registrieren. Gesundheitsämter können später auf diese Daten zugreifen, um Gäste zu kontaktieren, die möglicherweise von einem Infektionsfall an diesem Ort betroffen sind.
Rechtsgrundlage für die Datenverarbeitung ist die Dauer der Feststellung einer epidemischen Lage von nationaler Tragweite Abs. 1 Nr. 18 des Infektionsschutzgesetzes (IfSG), unabhängig davon bis zum Ablauf des 19. März 2022 Abs. 7 Satz 1 Nr. 8, Abs. 10 IfSG. Eine Weitergabe der übermittelten Daten durch die zuständigen Stellen oder eine Weiterverwendung zu anderen Zwecken als der Kontaktnachverfolgung ist juristisch ausgeschlossen ( Abs. 4 Satz 6 IfSG). Anfragen von Polizei und Staatsanwaltschaft nach Nutzerdaten für Zwecke der Strafverfolgung erreichten den Betreiber nach eigenen Angaben jedoch „fast täglich“. Nachdem die Polizei in Mainz gemeinsam mit dem Gesundheitsamt bei der Suche nach Zeugen auf Daten aus der Luca-App zurückgegriffen hatte, riefen einige Politiker öffentlich dazu auf, die Luca-App von den mobilen Telefonen zu löschen.
Die App wurde aufgrund von Sicherheitslücken und Datenschutzmängeln von vielen Experten kritisiert. Trotz diverser Mängel wurden die Lizenzen der App von mehreren Bundesländern eingekauft. Luca-generierte QR-Codes lassen sich auch mit der Corona-Warn-App scannen.
Die Entwicklung des Systems begann Ende 2020. Bis zum Auslaufen der Verträge mit den Bundesländern Ende März 2022 hatten sich laut Luca 450.000 Locations und etwa 40 Millionen Bürger registriert. Im April 2022 gaben die Betreiber bekannt, dass die Luca-App bis auf weiteres nicht mehr zur Kontaktverfolgung eingesetzt werden würde, und stattdessen in eine App zum „Buchen, Bestellen und Bezahlen in Restaurants oder auch Check-ins in Hotels“ umgewandelt werden solle.
Funktionsweise mini|Diagramm, das den Aufbau der Luca-App verdeutlicht
Wer die Luca-App verwenden will, muss diese zunächst auf seinem mobilen Endgerät installieren, seinen Namen, seine Kontaktdaten sowie die Mobilfunknummer in der Luca-App registrieren. Dann kann z. B. beim Eintritt in ein Konzert oder beim Betreten eines Restaurants ein QR-Code gescannt werden, der zuvor vom Konzertveranstalter, Restaurantbetreiber oder – im Falle eines privaten Treffens – von einer Privatperson erzeugt wurde. Im Restaurant ersetzt das Scannen des Codes handschriftliche Gästelisten. Beim Scannen wird ein sogenannter Check-In des Besuchs erstellt. Damit sollen später Kontakte nachvollzogen und entstandene Infektionsketten ermittelt werden. Die so gesammelten Daten werden verschlüsselt bei Luca bzw. deren Dienstleistern abgelegt, und nach Angaben von Luca können nur die zuständigen Gesundheitsämter ausschließlich im Infektionsfall auf die Daten zugreifen. Dies ist im Infektionsschutzgesetz (IfSG) auch so vorgesehen, das jedoch die Weitergabe der Daten an Dritte ausschließt ( Abs. 4 IfSG). Dies hielt jedoch die Mainzer Polizei nicht davon ab, Daten aus der Luca-App mit Hilfe des örtlichen Gesundheitsamts zu bekommen, um sie für Ermittlungen zu verwenden.
Gästeregistrierung mini|300px|Die Freiheitshalle Hof informiert über die Registrierungsmöglichkeit per Luca-App
Während der COVID-19-Pandemie mussten bestimmte Unternehmen nach den entsprechenden Verordnungen der Bundesländer die Kontaktdaten aller Gäste erfassen. Dies betraf die Gastronomie und – je nach Bundesland – Fitness-Studios, sonstige Sportveranstalter, Frisöre, Kinos, Theater, Konzertsäle, Senioren- und Pflegeheime, Kirchen etc. Diese Einrichtungen werden im Folgenden als Locations bezeichnet. Die Locations sollten im Infektionsfalle den Gesundheitsämtern Auskunft über Kontaktdaten erteilen. Dies sollte den Gesundheitsämtern ermöglichen Kontakte nachverfolgen zu können (s. u.), um Infektionsketten zu unterbrechen und die Ausbreitung von COVID-19 einzudämmen.
Gastronomen, Konzertveranstalter sowie andere Unternehmer, im Folgenden als Location-Betreiber bezeichnet, konnten die Kontaktdaten ihrer Gäste mit der Luca-App digital erfassen.
Jeder Gast registrierte sich in der Luca-App einmalig mit vollem Namen und Anschrift, ggf. E-Mail-Adresse sowie einer Mobilfunknummer. Die Mobilfunknummer wurde dabei mit einer TAN verifiziert. Für den Gast erzeugte die Luca-App einen QR-Code, der sich minütlich änderte. Diesen QR-Code konnte der Location-Betreiber beim Eintritt des Gastes scannen, um die Anwesenheit des Gastes zu erfassen. Alternativ konnten auch Betreiber für eine Location einen QR-Code erstellen, den die Gäste beim Eintritt scannen konnten.
Bei der Erfassung der Anwesenheit wurden die verschlüsselte Gast-ID, die Information über die Location sowie Datum und Uhrzeit gespeichert.Welche Daten konkret erfasst und gespeichert werden, konnte bei Redaktionsschluss noch nicht belegt werden. Die hier genannte Information erschließt sich logisch aus dem Gesamtzusammenhang. Auf diese personenbezogenen Daten konnten nur die Gesundheitsämter zugreifen, nachdem die Daten durch den Location-Betreiber freigeben wurden. Weder der Location-Betreiber noch der Betreiber der Luca-App konnten auf die Daten zugreifen.
Die Luca-App konnte über Geofencing den Anwender auch selbständig an Locations ausbuchen. Dafür musste die Freigabe der Standortdaten im Mobiltelefon über die Systemeinstellungen aktiviert sein.
Außerdem konnte ein Anwender mit der Luca-App einen Code für ein privates Treffen (Familien- oder private Feier, Verabredung, spontane Treffen u. ä.) erstellen. Mit diesem Code konnten sich dann die anderen Teilnehmer für das Treffen registrieren.
2022 wurde die Kontaktdatenerfassung zur Infektionsverfolgung abgeschafft. Daher wird diese Funktionalität von der Luca App nicht mehr angeboten.
Kontakttagebuch Epidemiologen und Virologen empfehlen, ein sogenanntes Kontakt-Tagebuch zu führen. Dabei sollten vor allem sog. Cluster-Situationen notiert werden, d. h., Situationen, von denen absehbar eine erhöhte Ansteckungsgefahr ausgeht, weil sich mehrere Menschen, z. B. in einem Innenraum, treffen. Das Kontakt-Tagebuch soll als Gedankenstütze dienen, mit deren Hilfe ein Infizierter dem Gesundheitsamt (oder direkt den Freunden, Verwandten oder Bekannten) mitteilen kann, wo bzw. mit wem er sich in den letzten 14 Tagen aufgehalten hat, damit das Gesundheitsamt eine Kontaktnachverfolgung (s. u.) durchführen kann.
Die Luca-App erzeugt aus den o. g. Check-Ins auf dem Smartphone des Anwenders eine sog. Historie, die dem empfohlenen Kontakt-Tagebuch entspricht. In der Historie werden diese Check-Ins gespeichert. Checkt ein Benutzer per Webinterface oder Schlüsselanhänger (s. o.) ein, wird die Historie auf einem Server des Luca-Systems angelegt. Die Daten der privaten Treffen werden im Infektionsfall nicht an das Gesundheitsamt übertragen, sondern dienen nur als Gedankenstütze.
Kontaktnachverfolgung Kontaktverfolgung (Kontaktpersonennachverfolgung, engl. “contact tracing”) ist das Ermitteln und Nachverfolgen von Kontaktpersonen von Infizierten, also Personen, die Kontakt zu einem Infizierten hatten und sich daher infiziert haben könnten. Ziel ist, solche Kontaktpersonen zu finden und zu isolieren, bis entweder bestätigt ist, dass sie nicht infiziert sind (Freitesten), oder sie nicht mehr ansteckend sind (Quarantäne). Auf diese Weise sollen Infektionsketten unterbrochen werden.
Mit dem Luca-App-System können die Gesundheitsämter Kontaktpersonen von Infizierten schneller ermitteln: Wird ein Anwender der Luca-App positiv auf SARS-CoV-2 getestet, kann er seine Historie (Kontaktdatenbuch) dem Gesundheitsamt mittels einer zwölfstelligen Transaktionsnummer (TAN) freigeben. Dadurch sendet die Luca-App des Getesteten alle Veranstaltungsorte der letzten 14 Tage (laut der Programm-Historie) an das Luca-System. Ausnahme sind private Treffen (s. o.).
Das Gesundheitsamt fordert dann über das Luca-System die entsprechenden Veranstalter auf, die Kontaktdaten aller Gäste, die zur selben Zeit wie der Meldende am jeweiligen Veranstaltungsort waren, ans Gesundheitsamt zu übertragen. Die Veranstalter können dieser Aufforderung über das Webinterface des Luca-App-Systems folgen. Anschließend stehen die Kontaktdaten dem Gesundheitsamt über ein Webinterface zur Verfügung und können entweder in dieser Webanwendung verwendet oder in dessen System zur Kontaktnachverfolgung übernommen werden. Die o. g. Verifizierung der Mobilnummer soll sicherstellen, dass zumindest diese Nummer korrekt ist.
Damit erhält das Gesundheitsamt die Kontaktdaten aller Gäste, die in den letzten 14 Tagen zur selben Zeit am selben Ort wie der Meldende angemeldet (“checked in”) waren. Das Befragen des Infizierten, eventuelle Erinnerungslücken sowie das aufwendige und zeitintensive Beschaffen, Entziffern und Abgleichen handschriftlicher Gästelisten entfallen.
Risikokontakt-Warnung Die Risikokontakt-Warnung soll Menschen warnen, die Kontakt mit einem Infizierten hatten und möglicherweise dadurch infiziert wurden, damit sie sich isolieren, testen und ggf. frühzeitig in Behandlung geben können.
Über die Luca-App werden im Zuge der Kontaktnachverfolgung (s. o.) Anwender alarmiert, die zur selben Zeit am selben Ort wie der Meldende registriert waren. Diese Alarmierung wird durch das jeweilige Gesundheitsamt ausgelöst. Falls ein Anwender die App nach dem jeweiligen Check-In deinstalliert hat, wird er per SMS informiert.
Anbindung der Gesundheitsämter Die Kontaktnachverfolgung durch die Gesundheitsämter kann über das Webinterface des Luca-App-Systems für Gesundheitsämter erfolgen.
Zusätzlich gibt es eine Anbindung an die in den Gesundheitsämtern verwendeten Systeme zur Kontaktnachverfolgung. Diese erfolgt entweder über die Schnittstelle des jeweiligen Systems oder über Ex- und Import über bestimmte Standardformate. Das Luca-System ist nicht an die Schnittstellen von z. B. SORMAS oder OctoWare TN angeschlossen, sondern nutzt die Möglichkeit Standardformate zu importieren.
Voraussetzungen Damit Veranstalter das Registrieren (Einchecken) mit der Luca-App anbieten können, muss das örtliche Gesundheitsamt ans Luca-System angeschlossen sein (siehe Verbreitung).
Anwender können die Luca-App nutzen, auch wenn das örtliche Gesundheitsamt noch nicht angeschlossen ist, entweder bei Reisen in Regionen, in denen die Veranstalter ans Gesundheitsamt angeschlossen sind oder für private Treffen (s. o.).
Personen, die kein kompatibles Smartphone haben oder die Luca-App nicht installieren wollen, können ihre Daten in einem Restaurant z. B. über ein Kontaktformular des Web-Interfaces der Luca-App eingeben. Die Luca-Web-App erzeugt daraus den Check-In. Alternativ können Anwender einen Schlüsselanhänger mit einem QR-Code erwerben, über den sie eingecheckt werden (beim Bestellvorgang werden dann die gleichen Daten wie in der App angegeben und auf dem Server des Systems hinterlegt).
Ohne die App können keine private Treffen (s. o.) initiiert werden, aber ein Ersteller privater Treffen kann Teilnehmer mit QR-Code-Schlüsselanhänger einchecken. Gäste, die die Luca-App auch nicht per Webinterface oder Schlüsselanhänger nutzen möchten, müssen sich weiterhin handschriftlich in Gästelisten eintragen.
Technische Umsetzung und Datenschutz Laut Angaben des Betreibers der Luca-App werden „die generierten Daten […] dezentral verschlüsselt und teilen sich ebenfalls auf drei Schnittstellen auf: Gastgeber, Gast und Gesundheitsamt. Nur im Falle einer Infektion setzen sich die Daten wie bei einem Puzzlespiel zusammen und sind dann für das Gesundheitsamt lesbar. Gastgeber, Veranstalter, Betreiber, wir selbst, oder Dritte, haben zu keinem Zeitpunkt Zugriff auf die Daten. Die einzelnen Puzzleteile sind auf ISO-27001 zertifizierten Servern in Deutschland gespeichert.“