Checkliste zur App-Auswahl

Die folgende Checkliste stellt eine Grundlage zur Ermittlung des Funktionsumfangs Corona-relevanter Anwendungen dar. Sie dient als Kommunikationsgrundlage zwischen Betrieben, die sich für Anwendungen interessieren und den Anwendungsanbietern. Die Liste kann den Anwendungsanbietern ausgehändigt, von diesen ausgefüllt und dem sich für die betreffenden Anwendungen interessierten Betrieb ausgefüllt ausgehändigt werden, wodurch dieser die Möglichkeit erhält, verschiedene Anwendungen gegeneinander abzugleichen und die für ihn geeignetste Lösung zu wählen. Diese Liste kann auch als ausfüllbares Word-Formular runtergeladen werden.

Name & Icon

• Name
  Wie ist der Name der Anwendung?
  Wenn es verschiedene Versionen für unterschiedliche Zielgruppen (z.B. Gast, Gastgeber, Testzentren, Impfstellen, Gesundheitsamt) gibt, sollte die Checkliste separat für jede Version ausgefüllt/abgefragt werden.
• Icon
  Wie ist das Logo der Anwendung?
  Quadratisch.

Anbieter & Entwickler

• Anbieter
  Wer ist der Anbieter der Anwendung?
  Bei Gemeinschaftsprojekten sollten alle Beteiligten angegeben werden.
• Entwickler
  Wer ist der Entwickler der Anwendung?
  Anbieter und Entwickler können voneinander abweichen. Dies ist häufig bei Entwicklungen der öffentlichen Hand der Fall.

Funktionen

• Kontaktdatenverfolgung
  Gibt es eine Kontaktdatennachverfolgung und wenn ja, wie ist diese umgesetzt - anonym, allgemein oder spezifisch?
  Wie ist der konkrete Ablauf? Angefangen bei der Kontaktaufnahme bis zur Kontaktermittlung und Benachrichtigung im Infektionsfall.
  Anonym: z.B. Anonyme Kontaktermittlung auf Basis von Abstands-/Dauermessungen zu anderen Personen über Bluetooth
  Allgemein: z.B. Kontaktdatenaufnahme am Eingang der Einrichtung/des Events
  Spezifisch: z.B. Kontaktdatenaufnahme an kleinteiligeren Bereich (Raum, Tisch, ...)
  
• Remote-Diagnose
  Gibt es eine Funktion nur Bestimmung der Wahrscheinlichkeit einer Corona-Infektion auf Basis der Daten der betroffenen Person (z.B. Symptome, Gefährdungspotenzial)? Wenn ja, wie und in welcher Form?
  
• Informationsbereitstellung
  Werden über die Anwendung Corona-relevante Informationen bereitgestellt? Wenn ja, wie und in welcher Form?
  Zum Beispiel: Informationen zu Symptomen, Verhaltensempfehlungen, Hygienemaßnahmen, aktuelle Verordnungen, Rechte und Einschränkungen, Inzidenzen).
• Impfstatus
  Kann über die Anwendung der Impfstatus einer Person eingepflegt bzw. abgerufen oder überprüft werden? Wenn ja, wie ist der konkrete Ablauf?
• Testergebnisse
  Kann über die Anwendung der Teststatus einer Person eingepflegt bzw. abgerufen oder überprüft werden? Wenn ja, wie ist der konkrete Ablauf?
• Kontakttagebuch
  Verfügt die Anwendung über ein Kontakttagebuch bzw. eine Besuchshistorie. Wenn ja, wie ist diese umgesetzt?
  Zum Beispiel: Selbstständigen Eintragen von Personengruppen, mit denen man Kontakt hatte oder automatisches Eintragen von Besuchen, bei denen man sich eingecheckt hat.
• Check-In
  Gibt es eine CheckIn/CheckOut-Funktion und wenn ja, wie ist diese umgesetzt - anonym, allgemein oder spezifisch?
  Wie ist der konkrete Ablauf von Check-In bis zum Check-Out?
  Anonym: z.B. Anonymer Check-In ohne das Hinterlegen von Kontaktinformationen
  Allgemein: z.B. Check-In/Out am Eingang der Einrichtung/des Events
  Spezifisch: z.B. Check-In/Out an kleinteiligeren Bereich (Raum, Tisch, ...)
  
• Datenspende
  Ist es über die Anwendung möglich, Daten zu spenden, um das Infektionsgeschehen besser untersuchen zu können? Wenn ja, welche Daten können wie und in welcher Form gespendet werden?

Privatsphäre, Datenschutz, Sicherheit

• Tracing-Format
  Wenn du Anwendung eine Tracking-Funktionalität (z.B. Bestimmung Nähe/Dauer zu anderen Personen oder Aufenthaltsorten) besitzt, wie ist diese technisch umgesetzt? Über GPS, Bluetooth (ENF, DP-3T, PEPP-PE) oder TCN?
  GPS: Bestimmung des genauen Standortes auf Basis von GPS-Koordinaten
  Bluetooth (ENF): Bestimmung von Nähe/Dauer zu anderen Personen über das Exposure Notification Framework
  Bluetooth (DP-3T): Bestimmung von Nähe/Dauer zu anderen Personen über das Decentralised Privacy Preserving Proximity Tracing
  Bluetooth (PEPP-PT): Bestimmung von Nähe/Dauer zu anderen Personen über das Pan European Privacy Protecting Proximity Tracing
  TCN: Bestimmung von Nähe/Dauer zu anderen Personen über Temporary Contact Numbers
  
• DSGVO-Konformität & Datensicherheit
  Ist die Anwendung DSGVO-konform umgesetzt worden? Wenn ja, Details, Nachweise und eines Links zur Datenschutzerklärung sowie darüber hinausführenden Sicherheitsdokumenten angeben.
  Wurde eine Datenschutzfolgeabschätzung durchgeführt? Wenn ja, Details, Nachweise und einen Link zur Datenschutzfolgeabschätzung angeben.
  Welche Maßnahmen wurden konkret getroffen, um die Datensicherheit zu gewährleisten?
• Datenspeicherung
  Werden persönlichen Daten aufgenommen und gespeichert. Wenn ja, wo, welche und in welcher Form?
  Wer hat Zugriff auf diese Daten und in welcher Form?
  Wenn keine persönlichen Daten gespeichert werden, wird eine andere Form der Nutzer-Zuordnung verwendet (z.B. Zufalls-IDs). Wenn ja, wo, welche und in welcher Form?
  Zentral: z.B. auf zentralem Server
  Dezentral: z.B. lokal auf dem Endgerät des Nutzers
  Beispiele für Speicherung von persönlichen Daten: anonymisiert, pseudonymisiert, Klartext, verschlüsselt
  Beispiele für Zugriffe: Entwickler - verschlüsselt, Gastgeber - pseudonymisiert
• Speicherdauer
  Wie lange werden die durch die Anwendung aufgenommenen und gespeicherte Daten (z.B. persönliche Daten) gespeichert? Erfolgt eine automatische Löschung nach diesem Zeitraum? Können die Daten auch vom Nutzer selbst gelöscht werden? Wenn ja, welche und wie kann er dies tun?
• Transparenz
  Ist transparent offengelegt (z.B. öffentlich verfügbarer Quell-Code), welche personenbezogenen Daten erfasst, gespeichert und wohin sie weitergeleitet werden? Wenn ja, Repository-Link angeben?
  
• Manipulationssicherheit
  Wurden Maßnahmen zum Zwecke der Manipulationssicherheit getroffen? Wenn ja, welche und in welcher Form?
  Beispiele für Manipulationen: Falschangaben, QR-Code-Check-In aus der Ferne, Manipulation von Daten auf dem mobilen Gerät.
  Beispiel für Gegenmaßnahmen: Screenshot-Sperre, Verifikation von E-Mail/Telefonnummer, Geo-Koordinaten-Abgleich beim Check-In, Betreiber-Scan statt Gast-Scan beim Check-In, pseudozufällige Kennungen inkl. periodischer Erneuerung, Verifikationsserver für Test-/Impfnachweise.
• Serverstandort
  Wenn Daten zentral gespeichert werden, befindet sich der Server in Deutschland? Wenn ja, welche Standards (Sicherheitsrichtlinien) werden erfüllt?
  Zum Beispiel: BSI C5, SOC 2, SOC1/ISAE 3402, ISO-27001

Schnittstellen

• Gesundheitsämter
  Sind Schnittstellen zu den Gesundheitsämtern vorhanden? Wenn ja, welche und wie erfolgt die Übergabe der Daten?
  Zum Beispiel: SORMAS, DEMIS, IRIS-Gateway
  Ggf. Einschränkungen benennen: z.B. nur teilnehmende Testzentren
• Testzentren
  Sind Schnittstellen zu den Textzentren und anderen Teststellen vorhanden? Wenn ja, welche und wie erfolgt die Übergabe der Daten?
  Ggf. Einschränkungen benennen: z.B. nur teilnehmende Testzentren
• Impfstellen
  Sind Schnittstellen zu den Impfstellen vorhanden? Wenn ja, welche und wie erfolgt die Übergabe der Daten?
  Ggf. Einschränkungen benennen: z.B. nur teilnehmende Impfstellen

Nutzerfreundlichkeit und Akzeptanz

• Verfügbarkeit
  Haben alle deutschen Bürger gleichwertigen Zugriff auf die Anwendung? Wenn nein, welche Einschränkungen (allgemein, technisch) gibt es?
  Beispiel für allgemeine Einschränkungen: Nur in einigen Bundesländern verfügbar (wenn ja, welche), verfügbar für bestimmte Berufsgruppen (z.B. Ärzte), Altersbeschränkungen
  Beispiel für technische Einschränkungen: Internet-Browser, Smartphone und/oder Drucker notwendig
• Freiwilligkeit
  Kann die Anwendung auf freiwilliger Basis verwendet werden oder besteht ein Zwang, z.B. um eine Location besuchen oder eine Dienstleistung in Anspruch nehmen zu dürfen?
• Aktivierungs-/Deaktivierungsprozess
  Wie erfolgt die Aktivierungs-/Deaktivierungsprozess der Anwendung. Ist diese nutzergesteuert oder ist eine Kontaktaufnahme zum Anbieter oder einer Behörde notwendig? Wenn der Anbieter bzw. Behördenkontakt notwendig ist, zu welchem Zweck bzw. aus welchen Gründen ist dieser notwendig und wie läuft der Prozess dann ab?
  Beispiel: Zur Nutzung einer Anwendung zur Unterstützung von Testzentren ist es erforderlich, dass das Testzentrum eine offizielle Betriebserlaubnis hat, für die ein behördlicher Kontakt notwendig ist.
• Anleitungen/Schulungsmaterial/Informationen
  Stehen Informationen, Anleitungen (z.B. multimodales Schulungsmaterial, Tutorials) und Dokumentationen zur Benutzung und Funktionsweise der Anwendung zur Verfügung? Wenn ja, in welchem Umfang?
  Links zur Webseite, zu Dokumentation, Tutorials, ...
• Nutzerwahrnehmung und Akzeptanz
  Wie wird die Anwendung von der Allgemeinheit akzeptiert? Wie ist die öffentliche Wahrnehmung?
  Angabe von Bewertungen (Anzahl, Rating) in den App-Stores, Erfahrungsberichte, Zahlen zur Verbreitung (z.B. Anzahl Gewerbe, wo Anwendung in Benutzung), Meinungen in den Nachrichten.

App-Store-/Web-App-Links

• Web-App
  Wenn vorhanden, Angabe des Links zur Web-App.
• Android
  Wenn vorhanden, Angabe des Links zur Android-App.
• iOS
  Wenn vorhanden, Angabe des Links zur iOS-App.
• Huawei
  Wenn vorhanden, Angabe des Links zur Huawei-App.
• Windows
  Wenn vorhanden, Angabe des Links zur Windows-App.

Zielgruppen

• Einzelpersonen
  Ist die App für Einzelpersonen geeignet? Wenn ja, in welcher Form?
  Beispiel: App für Testnachweise - für Einzelpersonen geeignet zum Nachweisen des negativen Testergebnissen
• Gesundheitsämter
  Ist die App für Gesundheitsämter geeignet? Wenn ja, in welcher Form?
  Beispiel: App für Testnachweise - für Gesundheitsämter geeignet, wenn automatische Weiterleitung von positiven Testergebnissen
• Testzentren
  Ist die App für Testzentren geeignet? Wenn ja, in welcher Form?
  Beispiel: App für Testnachweise - für Testzentren geeignet, wenn Testzentren das Testergebnis einpflegen und der Einzelperson zur Verfügung stellen können
• Gewerbe
  Ist die App für Gewerbe geeignet? Wenn ja, in welcher Form?
  Beispiel: App für Testnachweise - für Gewerbe geeignet, wenn Prüfung des Testergebnisses von Einzelpersonen als Eingangskontrolle möglich
• Bildungseinrichtungen
  Ist die App für Bildungseinrichtungen geeignet? Wenn ja, in welcher Form?
  Beispiel: App für Testnachweise - für Bildungseinrichtungen geeignet, wenn Prüfung des Testergebnisses von Einzelpersonen als Eingangskontrolle möglich
• Impfstellen
  Ist die App für Impfstellen geeignet? Wenn ja, in welcher Form?
  Beispiel: App für Impfnachweise - für Impfstellen geeignet, wenn Impfstellen den Impfstatus einpflegen und der Einzelperson zur Verfügung stellen können

Kosten

• Kosten (privat)
  Ist die Anwendung kostenlos? Wenn nein, welche Kosten fallen für den privaten Nutzer an?
• Kosten (geschäftlich)
  Ist die Anwendung kostenlos? Wenn nein, welche Kosten fallen für den geschäftlichen Nutzer an?
• Kosten (Land/Stadt)
  Ist die Anwendung kostenlos? Wenn nein, welche Kosten fallen für das Land/die Städte an?