Erste Bußgelder wegen Corona-Gästelisten

Covid-19 nahm die Welt in Beschlag und die Regierung ergriff Sicherheitsmaßnahmen, um dagegen vorzugehen. Eine dieser Maßnahmen besteht darin, dass bei Besuch eines Gastgewerbes die Personendaten in einem Anwesenheitsnachweis erfasst werden müssen (siehe § 6 Abs. 1 i. V. m. § 3 Abs. 1 S. 1 Nr. 5 SARS-CoV-2-UmgV für Brandenburg). Nun gibt es erste Bußgelder wegen Corona-Gästelisten.

Der Anwesenheitsnachweis gegen Covid-19

Hierbei handelt es sich um ein Dokument, das ein Gastgewerbebetreiber von seinen Gästen ausfüllen lassen muss, wenn diese ein Restaurant, Café o. Ä. aufsuchen. Anders als noch in der vorhergehenden Fassung der Verordnung wird nicht mehr eine Besucherliste gefordert, sondern das „Erfassen von Personendaten in einem Anwesenheitsnachweis“ (vgl. § 3 Abs. 1 S. 1 Nr. 5 SARS-CoV-2-UmgV). Der Sinn dieser Pflicht besteht darin, dass das Gesundheitsamt bei einer Covid-19-Infektion eines Besuchers die anderen Personen ausfindig machen kann, um diese zur Eindämmung der Infektionskette über eine mögliche Infektion zu informieren. Die Nichtumsetzung dieser Pflicht kann als Ordnungswidrigkeit mit einem Bußgeld von bis zu 25.000 Euro geahndet werden (§ 13 Abs. 1 Nr. 3 i. V. m. Abs. 2 SARS-CoV-2-UmgV für Brandenburg).

Der Datenschutz im Gastgewerbe

Mit Sicherheit haben sich vor Einführung dieser Maßnahme nur die wenigsten Betreiber von Gastgewerben mit dem Datenschutz beschäftigt. Plötzlich ist dieses Thema aber von hoher Wichtigkeit.

Die Probleme mit den Besucherlisten

Datenschutzaufsichtsbehörden einzelner Bundesländer haben über den fehlenden Datenschutz bei Stichproben in Gaststätten berichtet. So wurden unter anderem folgende Mängel festgestellt, die zugleich einen Datenschutzverstoß darstellen:

Kontaktlisten sind für alle anderen Besucher einsehbar

Vielerorts wurden die Vorgaben hinsichtlich des Anwesenheitsbeschlusses so gedeutet, dass sich die Besucher in einer Liste wiederfinden müssen. Diese Auslegung bringt jedoch datenschutzrechtliche Mängel mit sich. Die Listen waren auf verschiedene Weisen einsehbar. So kam es vor, dass diese Listen offen am Tresen lagen. Manche Restaurants versuchten, diese Anforderung zu erfüllen, indem an jedem Tisch eine Liste auslag. Entweder war es hier aber so, dass sie fortlaufend geführt wurde und man die Daten vorheriger Besucher einsehen konnte oder man vergaß, nach jedem Besuch eine neue, leere Liste bereitzuhalten. Daher ist ein Kontaktformular pro Besucher die ideale Lösung.

Löschfristen werden nicht eingehalten

Die Anwesenheitsnachweise sind gemäß § 5 Abs. 1 S. 5 SARS-CoV-2-UmgV für Brandenburg nach vier Wochen zu löschen. Jedoch kam es vor, dass diese Listen vorzeitig gelöscht wurden oder gar nicht bzw. erst, nachdem diese Frist schon verstrichen war.

Angegebene Daten werden zweckentfremdet

Es wird fortgehend betont, dass die Anwesenheitsnachweise einzig dazu dienen, bei einer möglichen Covid-19-Infektion die Infektionskette nachverfolgen zu können, um eine Ausbreitung des Virus zu vermeiden. Bei Einhaltung dieser Verwendungsbeschränkung kommt der Gewerbebetreiber damit Art. 6 Abs. 1 lit. c) DSGVO nach. Das bedeutet, dass es allgemein unzulässig ist, die Daten für andere Zwecke zu verarbeiten. In letzter Zeit gab es aber wiederholt Ereignisse, bei denen Telefonnummern zur Anbahnung privater Kontakte, zur Straftataufklärung bzw. –nachverfolgung oder für Werbezwecke genutzt wurden.

Es werden zu viele Daten erhoben

Die Landesregierungen haben mit den Verordnungen vorgegeben, dass bestimmte Daten für den Zweck der Unterbrechung möglicher Infektionsketten erhoben werden müssen (siehe § 5 Abs. 1 S. 5 SARS-CoV-2-UmgV für Brandenburg). Diese unterscheiden sich, jedoch handelt es sich meist um folgende Angaben:

1)    Vorname,

2)    Nachname,

3)    Adresse,

4)    Datum,

5)    Uhrzeit und

6)    Telefonnummer oder E-Mail-Adresse.

In Brandenburg sind nur Vor- und Nachname sowie E-Mail-Adresse oder Telefonnummer zu erfassen; also genügt auch nur eine von beiden Angaben und die Adresse ist nicht zu erfragen. In manchen Gaststätten wurden allerdings sowohl die Telefonnummern als auch die E-Mail-Adressen erfragt, ohne darauf hinzuweisen, dass nur eine der beiden Angaben erforderlich ist. Datum und Uhrzeit sind zwar nicht gesondert erwähnt, aber für den Erfassungszweck der Kontaktverfolgung erforderlich.

Reaktion der Datenschutzaufsichtsbehörden

Bei ersten Stichproben zeigten sich die Datenschutzaufsichtsbehörden (Artikel des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit hier und Pressemitteilung der Landesbeauftragten für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg hier) noch kulant. So sagten sie, dass Sanktionen bei diesen Stichproben nicht im Vordergrund standen oder nicht zu befürchten seien. Die Besuche dienten vorrangig der Sensibilisierung und der Beratung. Im Nachhinein stellten die Aufsichtsbehörden auch Musterformulare bereit, unter anderem von der Landesbeauftragten für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (hier). Einige Gewerbe nahmen sich der Kritik allerdings wohl nicht an. Dort bestehen die Mängel zum Datenschutz weiterhin fort. In Hamburg wurde bereits in vier derartigen Fällen Bußgelder bis zu 1.000 Euro verhängt.

Maßnahmen zum Datenschutz

Neben der Empfehlung, die Kontaktdatenerfassung pro Person, zumindest aber pro Tischgemeinschaft auf einem separaten Formular zu erfassen, muss die Information der Betroffenen über die Datenverarbeitung und ihre Rechte nach Art. 13 DSGVO erfolgen. Zudem muss der Verantwortliche ein Verarbeitungsverzeichnis gemäß Art. 30 DSGVO erstellen und dabei technische und organisatorische Maßnahmen nach Art. 32 DSGVO ergreifen. Dazu gehört auch die Organisation der Löschpflicht nach vier Wochen. Die Aufsichtsbehörden lassen die Verantwortlichen nicht mit den Pflichten alleine, sondern stellen Muster bereit. Wer Hilfe bei der Umsetzung benötigt, kann sich auch gerne an uns wenden.

Unsere Empfehlung

In Anbetracht des Vorangegangenen empfehlen wir dringendst, dass Cafés, Restaurants und sonstige Gastgewerbe sich mit dem Datenschutz auseinandersetzen und diesen DSGVO-konform umsetzen. Wenn Sie hierbei Hilfe benötigen, kontaktieren Sie uns gerne. Wir erstellen gern ein unverbindliches Angebot für Sie.

________________________________________

Update

Inwischen gibt es seit dem 15. September 2021 eine geänderte Verordnung: die Dritte Verordnung über den Umgang mit dem SARS-CoV-2-Virus und COVID-19 in Brandenburg (Dritte SARS-CoV-2-Umgangsverordnung – 3. SARS-CoV-2-UmgV).

Update 2

Aufgrund der geänderten Pandemielage empfehlen wir, die aktuellen Versionen der gültigen Verordnungen und Gesetze zu überprüfen. Dies insofern, dass diese für die Erhebung der Kontaktdaten von Gästen und Besuchern, eventuell auch in Abhängigkeit der Branche der jeweiligen Einrichtung, keine Rechtsgrundlage mehr bieten.