2018 hat Deutschland noch intensiv über die Datenschutzgrundverordnung, kurz DSGVO, debattiert. In Zeiten von Corona drängt sich nun aber der Eindruck auf, dass man es hierzulande mit dem Datenschutz nicht mehr so genau nimmt. Schließlich gibt fast jeder Bürger gerade im Restaurant oder im Biergarten den eigenen Namen und die Kontaktdaten an. So soll die Verbreitung des Virus eingedämmt werden, wenn neue Fälle auftreten. Doch gelten dabei keinerlei Datenschutz-Regeln? Beziehungsweise: Wenn doch, wer kontrolliert diese im Zweifel?
Corona: Wirte dürfen Daten nicht einfach auf Blanko-Papier erfassen
Alexander Filip ist Bereichsleiter beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA). Er verweist darauf, dass seine Behörde gemeinsam mit dem Deutschen Hotel- und Gaststättenverband (Dehoga) massive Informations- und Sensibilisierungsarbeit für Gastronomen leiste. So stelle man ein Muster für die Datenerfassungsformulare auf der Homepage bereit, auf die auch der Dehoga verlinkt.
Der Eindruck, dass es ausreiche, auf einem Blanko-Papier die Daten von Kunden zu erheben, trifft zudem laut Filip ausdrücklich nicht zu. Wirte müssten Namen, Kontaktdaten sowie Datum und Zeitraum eines Gaststättenbesuchs von je einer Person pro Haushalt nach strengen Regeln dokumentieren. "Datenschutzrechtlich sind die Gastronomen verpflichtet, den Personen, die ihre Daten angeben müssen, bestimmte Informationen zur Datenverarbeitung zu geben. Eine Erhebung von Daten per Blanko-Formular ohne Erteilung der notwendigen [...] Informationen über die Verarbeitung der Daten entspricht nicht den gesetzlichen Anforderungen", sagt Alexander Filip.
Datenschutz: Aushang von Wirten reicht aus
Das BayLDA, die verschiedenen IHKs sowie der Dehoga haben die Informationen, die Wirte ihren Kunden in jedem Fall mitteilen müssen, auf ihren Internetseiten veröffentlicht. In das auf der Homepage des BayLDA zur Verfügung gestellte Datenerfassungsformular als Muster für Gastronomen müssen diese lediglich den Namen ihres Unternehmens sowie die Kontaktdaten des Datenschutzbeauftragten in ihrer Firma, falls vorhanden, eintragen. Diese Möglichkeit steht Wirten offen, ist jedoch nicht verpflichtend.
Ebenfalls denkbar ist die Erfassung der persönlichen Daten durch Mitarbeiter eines Restaurants oder Biergartens. Diese können dann die erhaltenen Informationen in eine Liste eintragen. Zwei Dinge sind dabei laut BayLDA entscheidend: Zum einen dürfen die Besucher keinesfalls die Daten von vorherigen Gästen einsehen können. Darüber hinaus müssen auch in diesem Fall die datenschutzrechtlichen Informationen übermittelt werden. Ausreichend ist dafür beispielsweise ein für jeden Besucher einsehbarer Aushang. Ein entsprechendes Muster stellt die Dehoga im Internet bereit.
Möchte der Wirt keinen Aushang machen, kann er die Informationen auch in Form eines Blattes auf jedem Tisch, durch kleine Aufsteller auf dem Tisch oder vergleichbare Weise mitteilen. Laut LDA kommt es lediglich darauf an, dass das Ziel einer umfassenden Information der Gäste erreicht wird, der genaue Weg sei nicht vorgegeben. Sogar der Verweis auf die Website des Betriebs, auf dem dann die nötigen Aufklärungen zu finden sind, kann demnach ausreichen. In diesem Fall ist es allerdings erforderlich, dass es auch eine Variante für alle gibt, die das Internet nicht nutzen.
Datenschutz in Corona-Krise: Es gibt Beschwerden
Doch funktioniert das alles in der Corona-Praxis wirklich? "Bei uns sind auch schon einige Beschwerden eingegangen, in denen es eigentlich ausschließlich darum geht, dass offen herumliegende Sammellisten verwendet werden", sagt Alexander Filip vom BayLDA. "Solchen Beschwerden gehen wir in jedem Einzelfall nach, indem wir das Unternehmen anschreiben und sensibilisieren und über die verschiedenen bestehenden Möglichkeiten für eine datenschutzkonforme Vorgehensweise informieren."
Ein weiterer Punkt, der manche Gäste verunsichert, ist die Aufbewahrung der bereitgestellten persönlichen Daten. Offiziell gilt laut Filip: "Die Betriebe müssen die Daten einen Monat lang aufbewahren und sie anschließend datenschutzkonform – also sicher – vernichten. Hierfür kann ein handelsüblicher Shredder verwendet werden mit Sicherheitsstufe 3 oder 4." Weitere Hinweise dazu stellt das BayLDA auf seiner Homepage bereit.
Datenschutz: Löschung von Daten durch die Wirte soll kontrolliert werden
Dass die Vernichtung tatsächlich geschieht, möchte die Behörde wohl kontrollieren. "Wir als Aufsichtsbehörde haben die Möglichkeit, jederzeit Vor-Ort-Prüfungen oder auch schriftliche Prüfungen in den Betrieben durchzuführen. Es ist durchaus denkbar, dass wir gegebenenfalls in Unternehmen stichprobenartig die datenschutzkonforme Vernichtung der Kontaktdaten prüfen – [...] vor Ort oder im Rahmen schriftlicher Fragen", sagt BayLDA-Bereichsleiter Filip. Er verweist in diesem Zusammenhang darauf, dass dem BayLDA das Recht zur Betretung von Geschäftsräumen und zur Einsicht in Geschäftsunterlagen zusteht.
Der bayerische Datenschutzbeauftragte Thomas Petri äußerte zum Start der Maßnahmen Mitte Mai keine grundsätzlichen Bedenken gegen die Registrierungspflicht bei Restaurantbesuchen in der Corona-Krise. Wichtig sei die Beachtung der aufgestellten Kriterien. Petri warnte diesbezüglich vor allem vor der Einsicht in Daten durch Dritte oder die Anhäufung von Datenbergen, die längere Zeit gespeichert werden.
Eine Verwendung der Daten sei im Fall von Corona-Infektionen in einem Betrieb ausschließlich den Gesundheitsämtern vorbehalten. Die einzige Ausnahme könnte aus Sicht Petris eine anonymisierte Nutzung zu Forschungszwecken darstellen. Wenn Bürger Zweifel hätten, was über sie gespeichert ist, müsse ihnen das zuständige Gesundheitsamt darüber Auskunft geben, so der bayerische Datenschutzbeauftragte.
Lesen Sie dazu auch:
- Corona-Lockerungen: Warum wir uns nicht zu sicher fühlen dürfen
- Entwickler veröffentlichen Programmcode der Corona-Warn-App
- Corona-Boom lässt Videokonferenz-Dienst Zoom träumen
Wir wollen wissen, was Sie denken: Die Augsburger Allgemeine arbeitet daher mit dem Meinungsforschungsinstitut Civey zusammen. Was es mit den repräsentativen Umfragen auf sich hat und warum Sie sich registrieren sollten, lesen Sie hier.