Wenig Transparenz beim digitalen Impfausweis

Der Aufruf von BAG-Direktorin Anne Lévy muss sich angefühlt haben wie der erlösende Kuss aus dem Dornröschenschlaf: Am 28. Dezember 2020 wies sie an der Pressekonferenz darauf hin, dass Covid-Geimpfte ihre Daten ab Januar auf myCOVIDvac eintragen lassen können, einem Modul des digitalen Impfbüchleins «Meineimpfungen».

Obwohl das Projekt seit gut zehn Jahren läuft, schaffte es den grossen Durchbruch nicht. Bis kurz vor Weihnachten haben 300’000 Personen ihre Impfungen digital auf der Plattform Meineimpfungen.ch erfasst – das sind nur 3,4 Prozent der Schweizer Bevölkerung. Der digitale Eintrag der Covid-Impfung ist freiwillig, doch viele Geimpfte wird wohl das Argument überzeugen, dass sie so rasch informiert werden könnten, falls später eine Nachimpfung notwendig werden würde.

So weit, so gut. Doch dieses digitale Impfbüchlein, das mit der Empfehlung der BAG-Direktorin quasi einen offiziellen Charakter bekommen hat, wird nicht vom Bund angeboten, sondern von der privaten Stiftung Meineimpfungen. Im Stiftungsrat sitzen Vertreterinnen und Vertreter aus der Ärzteschaft, der Ärztekasse, dem Apothekerverband Pharmasuisse sowie der bislang unbekannten IT-Firma Arpage. Die Daten von potenziell Hunderttausenden Covid-Geimpften werden nicht auf einem Bundesserver gespeichert, sondern von der privatrechtlichen Arpage AG verwaltet.

Was dort mit den Daten passiert, ist unklar. Hannes Boesch, Stiftungsratsmitglied von Meineimpfungen und CEO der Firma Arpage, sagt, man stelle mit rechtlichen Mitteln sicher, dass die Arpage oder Mitglieder des Verwaltungsrates die Daten nicht für andere Zwecke nutzen würden.

Recherchen des Beobachters zeigen: Es gibt bereits erste Kontaktaufnahmen mit Anbietern des elektronischen Patientendossiers (EPD). Verschiedene Organisationen bewerben sich um eine Zertifizierung, ein EPD betreiben zu können. Und es gibt Bestrebungen, dass der User künftig den elektronischen Impfausweis mit dem Patientendossier verbinden kann.

An dieser Idee arbeitet auch die Post, die ein EPD anbietet. Auf ihrer Website stand bis zum 19. Januar 2021 unter dem Punkt E-Impfdossier: «Der elektronische Impfausweis stammt entweder aus einem Arztpraxissystem oder aus dem Impfportal Meineimpfungen.ch.» Als der Beobachter der Stiftung und der Post Fragen dazu stellt, wird die Seite eilig vom Netz genommen.

Eine Mitarbeiterin der Stiftung sagt, die Angaben der Post seien falsch und könnten zur Auffassung führen, dass es einen automatischen Datenaustausch gebe. Dem sei nicht so. «Es gibt kein Projekt zwischen der Post und Meineimpfungen.» Der Nutzer könne die Daten von Meineimpfungen herunterladen und in ein EPD hochladen. «Er ist allein dafür verantwortlich und muss selbst aktiv werden», so die Mitarbeiterin. Die Stiftung würde niemals Nutzerdaten an irgendeine Stelle weiterleiten, ohne dass der Nutzer davon weiss und eingewilligt hat. Auch nicht an ein elektronisches Patientendossier. 

Auch die Post spricht von einer missverständlichen Kommunikation. «Diese Dienstleistung bieten wir aktuell noch nicht auf dem Markt an, sie befindet sich erst in der Prüfungs- und Entwicklungsphase», so eine Post-Sprecherin. Doch anders als Meineimpfungen gibt die Post an, man habe vor zwei bis drei Jahren in einer technischen Machbarkeitsanalyse geprüft, ob man das elektronische Patientendossier mit dem digitalen Impfbüchlein verbinden kann. Es seien aber zu keinem Zeitpunkt Daten vom E-Impfbüchlein an die Post oder in die umgekehrte Richtung geflossen, auch nicht testweise, so die Post.

Personelle Verbindungen aber gibt es. Letzten Sommer hat Arpage Pascal Koradi in den Verwaltungsrat aufgenommen. Koradi war früher Finanzchef der Post und wurde der Öffentlichkeit durch die Postauto-Affäre bekannt. Die Affäre löste ein Strafverfahren aus. Der Fall liegt derzeit beim Berner Obergericht. Es gilt die Unschuldsvermutung.

Arpage-Chef Boesch hat Koradi nur wenige Tage nach der Anklageerhebung in den Verwaltungsrat berufen. Für ihn kein Problem: «Herr Koradi ist eine ausgewiesene Führungspersönlichkeit, die wir menschlich und fachlich schätzen. Es gibt keinen Grund, an seiner Integrität zu zweifeln.»

Neben seiner neuen Tätigkeit als Verwaltungsrat der Arpage führt Pascal Koradi eine eigene Firma, die Unternehmen in datengetriebenen Geschäften berät. Auf die Frage, ob er in das Projekt des elektronischen Impfausweises der Post involviert war, antwortet Koradi zeitgleich mit der Stellungnahme der Post: «Nein, ich war nicht involviert.»

Ob die Stiftung solche Tests wie mit der Post auch mit weiteren Anbietern von elektronischen Patientendossiers macht, kann nicht festgestellt werden. Die Arpage AG ist aber Mitglied des Vereins AD Swiss, der sich um eine Zulassung für ein elektronisches Patientendossier bewirbt. Die Arpage sei zuständig für die technische Entwicklung, weiss die Zulassungsstelle eHealth Suisse.

Wie weit die Befugnisse von Arpage-CEO Hannes Boesch innerhalb der Stiftung gehen, ist nicht klar. Ein Organigramm mit Angaben zum Aufgabengebiet der Stiftungsratsmitglieder sucht man auf der Seite Meineimpfungen.ch vergeblich. Offenbar spielt die Firma Arpage für das digitale Impfbüchlein eine zentrale Rolle: CEO Hannes Boesch ist seit dem Projektstart 2011 mit an Bord, und als das Projekt im Jahr 2015 in eine Stiftung überführt wurde, schoss er 100'000 Franken ins Stiftungskapital ein. Ein weiteres Geschäftsleitungsmitglied der Arpage sitzt im Steuerungsausschuss der Stiftung, andere Mitarbeiter sind offenbar ebenfalls in Doppelfunktion für die Stiftung und die Arpage tätig. Öffentlich ersichtlich ist das aber nirgends. 

Der Beobachter schickte an die einzige angegebene, allgemeine E-Mail-Adresse die Frage, ob es mit Blick auf die Datensicherheit und eine allfällige Weiterverwendung der Daten nicht heikel sei, dass der Chef dieser IT-Firma auch im Stiftungsrat sitzt. Arpage-CEO Hannes Boesch antwortete im Namen der Stiftung: «Herr Boesch hat das Projekt mitbegründet und bringt – wie alle Mitglieder im Stiftungsrat – wichtiges Fachwissen in die Stiftung ein. Wir vertrauen Herrn Boesch wie auch der Arpage.»

Claire-Anne Siegrist, Impfprofessorin und Stiftungsratspräsidentin von Meineimpfungen, reagierte nicht auf Anfragen des Beobachters und liess Arpage-CEO Hannes Boesch die Fragen beantworten. Und das BAG interessiert sich für diese Konstellation offenbar nicht. Auf die Frage, wie es sicherstelle, dass Boesch und die weiteren Stiftungsratsmitglieder die Daten der geimpften Personen nicht weiterverwenden, verweist das BAG an die Stiftung.

Und bei noch einem Punkt zeigt sich die Stiftung wenig auskunftsfreudig: wie es um ihre Finanzen steht. Offiziell bekannt war bislang lediglich, dass das digitale Impfbüchlein vom BAG einen jährlichen Betrag von 250'000 Franken erhält. Laut Hannes Boesch ist dieser Betrag erstmals 2020 geflossen. «Die zuvor vom BAG bezahlten Beträge wurden projektbezogen ausbezahlt und waren wesentlich kleiner», so Boesch. 

Eine Nachfrage beim BAG zeigt nun aber: Von «wesentlich kleiner» kann nicht die Rede sein. Von 2017 bis 2019 erhielt Meineimpfungen vom Bund total über 685'000 Franken (siehe Infografik weiter unten). Ein grosser Teil wurde als Subventionen für Impfkampagnen bei Fachpersonen ausgeschüttet.

2019 finanzierte das BAG aber auch die Weiterentwicklung des Webauftritts mit 135'000 Franken. Ein grosser Teil davon dürfte in die Kasse der Arpage AG weitergeflossen sein. Wie viel die Stiftung jährlich an die Arpage zahlt für die Datenverwaltung und den Unterhalt, will Boesch nicht sagen. Der Auftrag generiere etwa 10 bis 15 Prozent des Gesamtumsatzes der Arpage. Laut Schätzungen der Wirtschaftsauskunft Teledata macht die Firma mit ihren 17 Mitarbeitern einen Jahresumsatz von bis zu 10 Millionen Franken. Für das Zusatzmodul «myCOVIDvac» zahlt das BAG nun einmalig 450'000 Franken. 

Im Dunkeln lässt die Stiftung ihre Nutzer auch darüber, dass sie in den vergangenen Jahren grosszügige Summen von der Pharma erhielt. Insgesamt 827’000 Franken zahlten die Firmen GlaxoSmithKline, Pfizer, MSD und Sanofi-Aventis zwischen 2016 und 2019. Die Zahlen stammen von der Pharmatransparenzseite Pharmagelder.ch, auf welcher der Beobachter und weitere Medien die Zahlungen an Ärzte und Institutionen zusammentragen. Die Zahlen für 2020 haben die Pharmafirmen noch nicht publiziert.

Wie die Stiftung das Geld der Pharmafirmen eingesetzt hat und welche Gegenleistung diese erhielten, ist nicht bekannt. Auf ihrer Website schreibt Meineimpfungen, es sei ausgeschlossen, dass die Firmen Einfluss auf die Stiftungsaktivitäten nehmen oder Einblick in sensible Daten haben. Die Firmen seien nicht Partner im Sinn einer Steuerungsfunktion, sondern lediglich Gönner.

Trotz der Fragezeichen zum Datenschutz und zu den intransparenten Strukturen hält das BAG an der Lösung mit Meineimpfungen fest. «Wir arbeiten schon seit Jahren mit Meineimpfungen.ch zusammen», so eine Sprecherin des BAG. Aktuell existiere im Schweizer Gesundheitswesen für den Nachweis von verabreichten Impfungen auf nationaler Basis keine andere Lösung. «Die Zusammenarbeit mit der Stiftung auch für die Covid-19-Impfung ist damit eine konsequente Weiterführung der BAG-Strategie.»