Seit Montag, den 11. Mai 2020 (in Bayern ab 18.05.) dürfen Gastronomiebetriebe und zahlreiche andere Einrichtungen des alltäglichen Lebens wieder öffnen. Die Auflagen zu Abstand und maximale Gäste- / Käufer-Zahl auf der Verkaufsfläche sind durchaus eine Herausforderung für die Betreiber der Einrichtungen. Bei all den Anforderungen wird der Datenschutz schnell vergessen. Wir helfen mit unserem kostenlosen Muster Informationspflichten für Besucher von Gastronomie und anderen Einrichtungen im Zuge der Corona-Pandemie, entwickelt gemeinsam mit RA Stephan Hansen-Oest.
Welche personenbezogenen Daten von Besuchern sind zu notieren?
Einig sind sich die Länderverordnungen in dem Punkt, dass Name und Rufnummer der Besucher zu notieren und auf Verlangen der Gesundheitsbehörde im Verdachtsfall einer Infektion herauszugeben sind. Teilweise sind die dazugehörigen Verordnungen bzw. Anforderungen noch etwas schwammig bzw. zu unkonkret. Das wird in den nächsten Tagen sicher nachjustiert. So steht z.B. noch die Frage im Raum, ob die jeweilige Einrichtung die notierten Angaben z.B. anhand eines Ausweisdokuments verifizieren muss. Auch bei den Löschfristen finden sich nicht überall konkrete Angaben. Das Bundesland NRW sieht beispielsweise die Vernichtung der personenbezogenen Daten nach 1 Monat vor.
Übrigens: Da nirgendwo von einer Unterschrift durch die Besucher die Rede ist, wäre es auch eine Möglichkeit, die Daten auf elektronischem Wege zu erheben. So könnten Sie auch Reservierungssysteme nutzen, sofern die Angaben darin zusätzlich / ergänzend erfasst werden können.
Um der Papierflut bzw. Zettelwirtschaft Herr zu werden, wäre auch die abendliche Digitalisierung sprich das Einscannen der erfassten Daten in einen dazugehörigen Datums-Ordner vielleicht ganz hilfreich. Würde nebenbei die Übergabe an die zuständige Gesundheitsbehörde im Rahmen einer Anforderungen der Daten erleichtern und es reihen sich bei Ihnen nicht Ordner an Ordner mit den erhobenen Daten. Die Kür wäre natürlich ein Scan mit OCR, was aber eine möglichst “unverschlüsselte” Handschrift der Eintragen voraussetzt 🙂
Informationspflichten nach Art. 13 DSGVO an die Besucher nicht vergessen
Egal, in welchem Umfang oder auf welche Art (analog per Formular / Besucherliste oder digital z.B. in Form von Excel-Tabellen) Sie die Daten Ihrer Besucher erheben, es sind die Angaben zu den Informationspflichten nach Art. 13 DSGVO zu erfüllen. Dies kann beispieslweise mittels Aushang vor Ort und einem mündlichen Hinweis an Ihre Besucher geschehen. Hier zählt Pragmatismus in Anbetracht der angespannten Situation. Ein passendes kostenloses Muster hierzu haben wir gemeinsam mit dem in der Branche wohlbekannten Rechtsanwalt Stephan Hansen-Oest (https://www.datenschutz-guru.de) entwickelt. Nach dem Download sollten sie dieses bitte auf Ihre Einrichtung anpassen und bei Bedarf ergänzen oder überflüssige Angaben streichen.
Denken Sie bitte an das Verzeichnis für Verarbeitungstätigkeiten
Diese Erhebung von personenbezogenen Daten im Rahmen der Corona-Pandemie sollte sich ebenfalls in Ihrem Verzeichnis für Verarbeitungstätigkeiten wiederfinden. Sie haben noch keins? Tipps und Tricks dazu entweder bei RA Hansen-Oest oder bei uns hier im Blog.
Kostenloses Muster Informationspflichten bei Erhebung personenbezogener Daten im Zuge der Corona-Pandemie
Wir, also Stephan Hansen-Oest und a.s.k. Datenschutz, stellen Ihnen dieses unverbindliche Muster kostenfrei zur Verfügung. Bitte beachten Sie dabei:
- Passen Sie bitte die Bezüge zu den aktuell geltenden Landesverordnungen bzw. Rechtsanwendungen an
- Fair Use: Diese Vorlage kann gerne in der Praxis von Organisationen genutzt und verändert werden. Wir (RA Hansen-Oest und a.s.k. Datenschutz Sascha Kuhrau) möchten jedoch nicht, dass sie ohne unsere Zustimmung auf anderen Internetseiten als Vertragsmuster zum Download angeboten wird oder sich irgendwann in einem Vertragsmusterbuch wiederfindet.
- Haftung: Diese Vorlage stellt lediglich einen Vorschlag dar. Es wird keine Haftung für Schäden durch die Verwendung übernommen
Anregungen und Ergänzungen für die Vorlagen? Dann immer her damit.
Allgemeines Muster zu den Informationspflichten für Besucher im Rahmen der Corona-Pandemie
Auf Freistaat Bayern angepasstes Muster zu den Informationspflichten für Besucher im Rahmen der Corona-Pandemie
Auf Hessen angepasstes Muster zu den Informationspflichten für Besucher im Rahmen der Corona-Pandemie
Auf Schleswig-Holstein angepasstes Muster zu den Informationspflichten für Besucher im Rahmen der Corona-Pandemie
Fragen Sie Ihren (externen) Datenschutzbeauftragten
Bevor im Umgang mit oder der Anpassung von diesen Vorlagen für Ihre Organisation etwas schief geht und Ihnen möglicherweise Ungemach durch die Datenschutzaufsicht droht, binden Sie bitte Ihren Datenschutzbeauftragten frühzeitig in das Thema Informationspflichten mit ein. Sie haben keinen Datenschutzbeauftragten? Möglicherweise unterliegen Sie der gesetzlichen Pflicht zur Benennung, aber auch ohne deren Vorliegen ist ein Datenschutzbeauftragter der Profi für Ihre Fragen rund um das Thema Datenschutz. Gerne unterbreiten wir Ihnen ein Angebot für einen externen Datenschutzbeauftragten.
Versionshistorie
Update 12.05.2020: Nutzerhinweis auf Benennung statt Bestellung eines DSB aufgegriffen und Wortwahl entsprechend angepasst
Update 13.05.2020: Mustervorlage zur Datenerfassung Gastronomie als Anhang ergänzt
Update 14.05.2020: Version mit ersten Anpassungen auf Freistaat Bayern veröffentlicht
Update 16.05.2020: Version mit Anpassungen auf konkrete Verordnung in Hessen veröffentlicht
Update 18.05.2020: Version Schleswig-Holstein veröffentlicht
Hahn IT Services, Schwaig
10 Responses
Neben den Informationspflichten ist doch aber m.E. auch eine Beschreibung der Verarbeitungstätigkeit notwendig, also die Aufnahme in das Verzeichnis für Verarbeitungstätigkeiten.
Ja, Datenerhebungen im Zuge von Corona gehören auf jeden Fall auch in das VVT. Entweder einen vorhandenen Eintrag ergänzen oder neu anlegen. Die meisten Angaben für das VVT stehen ja bereits in den Infopflichten, von daher kann das gut übertragen werden.
Vielen Dank für die Musterformulare. Das hilft sehr. In der sächsischen Allgemeinverfügung steht als einzige Passage: “Möglichkeiten der freiwilligen Gästeregistrierung sind, soweit möglich, vorzuhalten um eine Kontaktverfolgung zu erleichtern.” Problematischer wird es nämlich dann mit den “Hilfssheriffs” vom jeweiligen Ordnungsamt, die solch extrem weiche Formulierungen nach ihrem eigenen “Verständnis” auslegen. Und da ist es mit der Thematik Datenschutz meist überhaupt nicht weit her. Also nochmals vielen Dank für die Formulare !!
Danke für den Hinweis auf die sächsischen Anforderungen. Hilft anderen Besuchern hier für die notwendige Anpassung auf jeden Fall auch weiter.
Die Interpretation von Datenschutzanforderungen ist ja sogar für Profis nicht immer so einfach bzw. im Ergebnis durchaus mal uneinheitlich. Da können wir von Laien nicht erwarten, dass diese es besser beherrschen. Kann natürlich zu Diskussionen führen, wie in dem genannten Beispiel mit den “Hilfssherrifs”.
Wir schauen, ob wir für die Einwilligung auch noch ein Muster bereitstellen können.
Vielen lieben Dank!!
In der aktuellen Sechste Verordnung zur Änderung der SARS-Cov-2-Eindämmungsmaßnahmenverordnung
vom 07. Mai 2020 des Berliner Senats heißt es übrigens dazu:
“§ 6 Gaststätten und Hotels
.…
(6) Gastronomiebetrieben werden Reservierungssysteme oder andere geeignete Verfahren mit Informationen zur Kontaktnachverfolgung dringlich empfohlen. Diese Informationen sind von dem Betreiber für die Dauer von vier Wochen nach Ende des Aufenthaltes aufzubewahren und der zuständigen Behörde auf Verlangen auszuhändigen. Nach Ablauf der Aufbewahrungsfrist sind die Informationen zu löschen oder zu vernichten.”
Es besteht somit keine gesetzliche Pflicht zur Datenerfassung und die Restaurants müssten dann wohl auf eine Einwilligung setzen!
Danke für den Hinweis auf den konkreten Text. Die Länderverordnungen sind föderalistisch geprägt, von daher gibt es hier sehr unterschiedliche Anforderungen bzw. Ausprägungen. Nicht nur in Berlin wird die Erhebung der Daten nicht konkret vorgeschrieben, sondern empfohlen bzw. vorgeschrieben mit Einwilligungserklärung. Das macht es nicht übersichtlicher, leider. Je mehr wir von diesen Ausprägungen hier sammeln, umso leichter wird es für Nutzer der Vorlagen konkrete Anpassungen auf ihr Bundesland vorzunehmen.
Wir überlegen, ob wir nicht zusätzlich ein Muster für eine solche Einwilligung entwickeln und zusätzlich hier mit anbieten.
(Hessische) Verordnung zur Beschränkung von sozialen Kontakten und des Betriebes von Einrichtungen und von Angeboten aufgrund der Corona-Pandemie (Stand:
15. Mai 2020)
§ 1 (2) 4. d): Name, Anschrift und Telefonnummer der Gäste zur Ermöglichung der Nachverfolgung von Infektionen von der Betriebsinhaberin oder dem Betriebsinhaber erfasst werden; diese haben die Daten für die Dauer eines Monats ab Beginn des Besuchs geschützt vor Einsichtnahme durch Dritte für die zuständigen Behörden vorzuhalten und auf Anforderung an diese zu übermitteln sowie unverzüglich nach Ablauf der Frist zu löschen oder zu vernichten; die Bestimmungen der Art. 13, 15, 18 und 20 der Datenschutz-Grundverordnung zur Informationspflicht und zum Recht auf Auskunft zu personenbezogenen Daten finden keine Anwendung
Ähnlich § 2 (4) 4., § 4 (2) 3.
Vielen Dank. Mal schauen, ob wir gleich eine angepasste Vorlage für Hessen aufnehmen.
Klasse! Danke!