Datenschutz bei Wiedereröffnungen in Brandenburg

Der Ausbruch des Covid-19 (coronavirus disease 2019, auf Deutsch: Coronavirus-Krankheit 2019) hat viele Bereiche der Wirtschaft auf der ganzen Welt zum Stillstand gebracht. Auch Brandenburg war davon betroffen, obwohl die Anzahl der Ansteckungen hier nicht so hoch wie in anderen Bundesländern ist.

Die bisherige Situation

Um der Ausbreitung von Covid-19 entgegen zu wirken, galt für über einen Monat das Verbot, jegliche nicht systemrelevanten Gewerbe zu öffnen. Nachdem man nun feststellt, dass die Anzahl der Ansteckungen und Ausbrüche sinkt, lockert man Schritt für Schritt die Verbote. Dabei werden aber neue Regelungen, die es zu befolgen gilt, erstellt. Die bekanntesten davon sind wohl der 1,5-m-Mindestabstand, die Mund- und Nasenbedeckung sowie die Führung einer Besucher-/Gästeliste. Letzteres gilt übrigens nach § 5 Abs. 5 der Verordnung über Maßnahmen zur Eindämmung des neuartigen Coronavirus SARS-CoV-2 und COVID-19 in Brandenburg (SARS-CoV-2-Eindämmungsverordnung – SARS-CoV-2-EindV) vom 19. Mai 2020 beispielsweise nicht für Gaststätten- und Friseurgewerbe. Nichtsdestotrotz ergeben sich Fragen zum Datenschutz. Hier stellt sich die Frage, ob derartige Listen überhaupt geführt, also die Daten überhaupt erhoben werden dürfen. Wenn ja, ob dies in öffentlichen, für jeden Gast oder Kunden einsehbaren Listen erfolgen darf.

Wann eine Besucherliste in Brandenburg verpflichtend zu führen ist

Gemäß § 5 Abs. 4 Nr. 2-14 der Verordnung über Maßnahmen zur Eindämmung des neuartigen Coronavirus SARS-CoV-2 und COVID-19 in Brandenburg (SARS-CoV-2-Eindämmungsverordnung – SARS-CoV-2-EindV) vom 19. Mai 2020 muss solch eine Liste beispielsweise in folgenden Situationen geführt werden:

1) bei jeglichen nicht religiösen Bestattungen mit bis zu 50 Personen,

2) bei der Begleitung Sterbender im engsten Familienkreis,

3) bei der Wahrnehmung von Terminen bei Behörden, Gerichten, Gerichtsvollzieherinnen und Gerichtsvollziehern, Rechtsanwältinnen und Rechtsanwälten, Notarinnen und Notaren,

4) bei Zusammenkünften von Einrichtungen und Stellen, die öffentlich-rechtliche Aufgaben wahrnehmen, insbesondere der Feuerwehren und anerkannten Hilfsorganisationen,

5) bei unaufschiebbaren Zusammenkünften der Organe und Gremien juristischer Personen des öffentlichen und des privaten Rechts zur Wahrnehmung ihrer Aufgaben, sofern keine anderen Formen der Durchführung möglich sind und die Zahl der Teilnehmenden auf das zwingend erforderliche Maß beschränkt wird.

Bei der Datenverarbeitung in diesen Fällen könnte man sich auf Art. 6 Abs. 1 c) DSGVO (Datenverarbeitung zur Erfüllung rechtlicher Pflichten) beziehen. Diese Rechtsverbindlichkeit fehlt allerdings, wenn man zur Führung der Besucherliste nicht durch Verordnungen verpflichtet ist.

Die Rechtsnatur des Arbeitsschutzstandards

Jedoch könnte man den Arbeitsschutzstandard hinzuziehen. Der Arbeitsschutz ist in Deutschland durch Gesetze geregelt. Diese sind unter anderem das Arbeitsschutzgesetz (ArbSchG) und die Arbeitsschutzverordnungen, z. B. für Betriebsstätten (ArbStättV) oder Betriebsmittel (BetrSichV). Daneben stehen die Unfallverhütungsvorschriften (UVV) der Unfallversicherung. Der SARS-CoV-2-Arbeitsschutzstandard ist jedoch keine nach § 18 Arbeitsschutzgesetz formal erlassene Rechtsverordnung, die im Bundesanzeiger veröffentlicht worden wäre. Die Rechtsnatur ist daher unklar.

Die Rechtsgrundlage für die Verarbeitung

Damit fehlt es an der zwingenden Rechtsverbindlichkeit und somit kann Art. 6 Abs. 1 c) DSGVO (Datenverarbeitung zur Erfüllung rechtlicher Pflichten) auch nicht als Rechtsgrundlage für die Kontaktdatenerhebung etwa bei Friseuren oder Gaststätten herangezogen werden. Die Arbeitgeber haben jedoch ein berechtigtes Interesse daran, erneute Betriebsschließungen zu verhindern zu helfen. Zusätzlich ist das berechtigte Interesse auch damit erklärbar, die Mitarbeiter und Kunden vor einer unbemerkten Ausbreitung von Covid-19 zu schützen. Daher können sie sich auf Art. 6 Abs. 1 f) DSGVO als Rechtsgrundlage für die Datenerhebung stützen. Deren Zweck ist letztlich, die möglichst schnelle, effektive und zielgerichtete Verfolgung von Infektionsketten durch die Gesundheitsämter zu ermöglichen. Dass infizierte Personen oder gefährdete Personen nach dem Infektionsschutzgesetz unter Quarantäne gestellt werden können, ist nur dann kapazitätsmäßig möglich, wenn die Infektionszahlen niedrig bleiben.

Einhaltung der Datenschutzmaßnahmen

Als Gewerbetreibender fragen Sie sich nun eventuell, ob Sie diese Daten erheben wollen. Wenn ja, ergibt sich möglicherweise die Frage, wie Sie mit diesen Daten umgehen müssen.  Branchenstandards, die z. B. die Berufsgenossenschaft für Gesundheitsdienst und Wohlfahrtpflege entwickelt hat, schreiben daher: „Die Erhebung dieser Daten ist nach Art. 6 Abs. 1 lit. f) Datenschutzgrundverordnung (DSGVO) zulässig“. Wir wollen hier nicht diskutieren, ob diese Rechtsauffassung zutrifft – siehe die Diskussion der Rechtsgrundlage oben. Wenn sich jedoch ein Unternehmen entschließt, derartige Listen – oder genauer gesagt Datensammlungen – zu führen, müssen diese

1) zwingend für andere Personen (Kunden, Gäste, Besucher) uneinsehbar sein und

2) die Informationspflicht erfüllen.

Bei Verletzung der Informationspflicht drohen Bußgelder in Höhe von bis zu 4 % des Unternehmensumsatzes bzw. bis zu 20 Millionen Euro.

Nur wenn das Gesundheitsamt nach dieser Liste fragt, dürfen Sie sie herausgeben. Ansonsten ist ständig sicherzustellen, dass keine unbefugten Dritten diese einsehen können. Des Weiteren müssen Sie die Daten nach vier Wochen unwiderruflich löschen. Sie dürfen diese Daten auch nicht für andere Zwecke (z. B. Werbung) verwenden.

Zu dokumentierende Informationen

Für den Besuch bestimmter Einrichtungen oder der Teilnahme an bestimmten Veranstaltungen (siehe oben: Wann eine Besucherliste in Brandenburg verpflichtend zu führen ist) wurde nun auch festgelegt, dass intern Informationen zu den Besuchern dokumentiert werden müssen. Dabei sind mindestens folgende Daten aufzunehmen:

1) Vor- und Nachname,

2) die vollständige Adresse,

3) Telefonnummer,

4) gegebenenfalls auch den Firmennamen, falls es sich um einen Getränkelieferanten o. A. handelt,

5) das Besuchsdatum,

6) der Zeitpunkt des Betretens und des Verlassens gemäß dem Arbeitsschutzstandard des Bundesarbeitsministeriums mit Wirkung vom 16. 04. 2020: https://www.bmas.de/SharedDocs/Downloads/DE/PDF-Schwerpunkte/sars-cov-2-arbeitsschutzstandard.pdf?__blob=publicationFile&v=1

Ziff. 12 lautet demnach: Zutritt betriebsfremder Personen zu Arbeitsstätten und Betriebsgelände

„Zutritt betriebsfremder Personen sind nach Möglichkeit auf ein Minimum zu beschränken. Kontaktdaten betriebsfremder Personen sowie Zeitpunkt des Betretens/Verlassens der Arbeitsstätte/des Betriebsgeländes sind möglichst zu dokumentieren. Betriebsfremde Personen müssen zusätzlich über die Maßnahmen informiert werden, die aktuell im Betrieb hinsichtlich des Infektionsschutzes vor SARS-CoV-2 gelten.“

Einhaltung der datenschutzrechtlichen Informationspflicht

Vor Erfassung der Daten sind Sie in der Pflicht, jede Person über die Verarbeitung ihrer Daten und deren Rechte zu informieren (nach Art. 13 DSGVO). Hierbei haben Sie folgende Information für alle Personen zur Verfügung zu stellen:

1) Name und Kontaktdaten des Verantwortlichen,

2) gegebenenfalls Name und Kontaktdaten des Vertreters,

3) gegebenenfalls Kontaktdaten des Datenschutzbeauftragten,

4) Zwecke der Verarbeitung,

5) Rechtsgrundlage der Verarbeitung,

6) falls bei der Rechtsgrundlage die des berechtigten Interesses gewählt wird, ist anzugeben, welche Interessen bei der Verarbeitung verfolgt werden,

7) gegebenenfalls Empfänger oder Kategorien von Empfängern dieser Daten,

8) Dauer der Verarbeitung bzw. Speicherdauer und

9) Rechte der Betroffenen.

Fazit

Wir wissen, dass Sie Ihr Unternehmen möglichst im Einklang mit dem Gesetz führen wollen. Dabei können sich oft Fragen zum Datenschutz ergeben. Beratung kann helfen, Bußgeldrisiken zu reduzieren. Wir unterstützen Sie gern bei der Erstellung von Formularen für die Erhebung der Kontaktdaten und bei der Erfüllung Ihrer Informationspflicht. Sprechen Sie uns gern an.

________________________________________

Update:

Inwischen gibt es seit dem 15. September 2021 eine geänderte Verordnung: die Dritte Verordnung über den Umgang mit dem SARS-CoV-2-Virus und COVID-19 in Brandenburg (Dritte SARS-CoV-2-Umgangsverordnung – 3. SARS-CoV-2-UmgV).