Erfassung von Kundenkontaktdaten in Zusammenhang mit dem Corona-Virus (Covid-19 / SARS-CoV-2)

Deutsch / English

Nicht nur in Gaststätten gilt die Pflicht zur Erfassung von personenbezogenen Daten der Kunden zwecks Rückverfolgbarkeit von Infektionsketten in Zusammenhang mit dem Corona-Virus. Auch im Bereich des sonstigen Wirtschaftslebens kann eine Pflicht zur Gewährleistung der Rückverfolgbarkeit bestehen. Wir zeigen Ihnen, ob auch Sie hiervon betroffen sind und wie Sie Ihren Pflichten nachkommen können.

Gesetzliche Vorgaben an die Dokumentation

Die „Verordnung zum Schutz vor Neuinfizierungen mit dem Corona-Virus SARS-CoV-2“ (CoronaSchVO) verpflichtet einige Betriebe zur Erfassung von Kontaktinformationen zur Ermöglichung der Rückverfolgbarkeit von Infektionsketten in Zusammenhang mit dem Corona-Virus. Damit geht auch die Verwirklichung des Erlaubnistatbestandes des Art. 6 Abs. 1 Satz 1 lit. c, Abs. 3 der Datenschutz-Grundverordnung einher. Einer Einwilligung des Betroffenen zur Datenverarbeitung bedarf es daher nicht.

§ 2a Abs. 1 der CoronaSchVO verlangt eine papiergebundene Erfassung von Name, Adresse, Telefonnummer, Zeitraum des Aufenthalts bzw. Zeitpunkt von An- und Abreise. Zusätzlich hierzu können die Verantwortlichen auch eine digitale Datenerfassung anbieten (§ 2a Abs. 3 CoronaSchVO NRW). Für die digitale Datenerfassung ist jedoch eine Einwilligung des Betroffenen erforderlich, die aber problemlos im Rahmen der digitalen Datenerfassung eingeholt werden kann.

Die Kontaktdaten sind für einen Zeitraum von vier Wochen sicher aufzubewahren und danach vollständig zu vernichten. Nur bei Aufforderung durch die untere Gesundheitsbehörde sind die Daten dorthin zu übermitteln.

Betroffene Branchen

Die Pflicht zur Erfassung von Kontaktdaten gilt dabei nicht nur gegenüber der Gastronomie, sondern z.B. auch für Betreiber von Spielhallen, Beherbergungsbetrieben, Friseursalons, Kosmetik-, Tätowier-, Maniküre-, Pediküre-, Massage- und Fitness-Studios, aber auch für Schwimmbäder oder Wellness-Einrichtungen, Reisebusfahrten, Freizeitparks und bei diversen Veranstaltungen. Dabei muss zwar in der Regel kein Erfassungsbogen wie in der Gastronomie vorgelegt, jedoch die Rückverfolgbarkeit gewährleistet werden.

Gewährleistung der Datensicherheit

Die Kundenlisten zur Nachverfolgung von Personenkontakten dürfen nicht frei zugänglich ausgelegt werden, denn der Datenschutz gebietet auch hier eine Sicherung vor dem Zugriff durch Unbefugte.

Ansonsten sind die Listen für eine Dauer von vier Wochen so aufzubewahren, dass auch hier eine Kenntnisnahme oder Veränderung durch Dritte ausgeschlossen ist. Welche technischen und organisatorischen Maßnahmen zur Sicherstellung geeignet und angemessen sind, ist einzelfallabhängig. In der Regel dürfte eine Aufbewahrung in datierten, verschlossenen Umschlägen ausreichend sein.

Nach Ablauf der Aufbewahrungsfrist sind die Listen datenschutzkonform zu vernichten. Der Einsatz eines Aktenvernichters ist hierbei zu empfehlen.

Zweckbindungsgrundsatz, Datenminimierung und Informationspflichten

Die Kundenlisten dürfen nur für den gesetzlichen Zweck der Nachverfolgung von Personenkontakten verwendet werden. Eine Nutzung für andere Zwecke, beispielsweise für Kundenwerbung, ist unzulässig.

Außer den gesetzlich vorgeschriebenen Daten dürfen keine anderen Informationen abgefragt werden. Daher dürfen die Abfragebögen lediglich enthalten: Name, Adresse, Telefonnummer, Zeitraum des Aufenthalts, Zeitpunkt von An- und Abreise.

Überdies müssen die Kunden bei Erhebung der Daten über die Datenverarbeitung transparent und verständlich informiert werden. Der Hinweis, dass es sich um eine Datenverarbeitung zur Nachverfolgung von Infektionsketten handelt, die im Bedarfsfalle an die örtlich zuständige Gesundheitsbehörde herausgegeben werden muss, ist hierfür ausreichend. Daneben muss jedoch auf die Rechte des Betroffenen hingewiesen werden.

Fazit

Die Vorgaben der Coronaschutzverordnung lassen sich mit einfachen Mitteln so umsetzen, dass datenschutzrechtliche Vorgaben beachtet werden. Auch eine digitale Datenerfassung ist ohne Weiteres möglich.

Gerne beraten wir Sie zur praktischen Umsetzung.

Alexander Brittner, LL.M.
Rechtsanwalt, Datenschutzbeauftragter (TÜV)

E-Mail: alexander.brittner@bolex.de
Telefon: +49 (234) 9136189