Corona: Datenschutzkonforme Dokumentation von Kundenbesuchen + Muster-Formular

Diverse Bundesländer verpflichten bestimmte Dienstleister mit stationärer Niederlassung derzeit dazu, Kunden- und Interessentenbesuche ordnungsgemäß in Listen zu dokumentieren und diese Listen turnusmäßig an das Gesundheitsamt zu übermitteln. Dies soll einer effizienten Früherkennung möglicher Infektionsketten dienen und schnelle behördliche Reaktionen ermöglichen. Bei der Führung derartiger Kundenlisten werden aber immer auch personenbezogene Daten der Besucher verarbeitet. Dies erfordert einerseits eine datenschutzgerechte Handhabung bei der Datenerhebung und andererseits auch eine ordnungsgemäße Datenbelehrung für Besucher. Die IT-Recht Kanzlei klärt über die notwendigen Maßnahmen auf und stellt Mandanten ein datenschutzkonformes Musterformular bereit.

I. Die Pflicht zur Führung von Kundenlisten in bestimmten Gewerken

Diverse Bundesländer haben die Wiedereröffnung bestimmter stationärer Diensleistungsetablissements an die Voraussetzung geknüpft, lückenlose und ordnungsgemäße Kundenlisten zu führen und diese turnusmäßig an die zuständige Gesundheitsbehörde zu übermitteln.

Betroffen sind hiervon solche Leistungserbringer, deren Leistung die Einhaltung des erforderlichen Mindestabstands von 1,5 Meter nicht gewährleisten kann, wie etwa Frisöre, Kosmetiker und Tätowierer.

Auch Gastronomiebetriebe könne je nach Bundesland von der Pflicht zur Listendokumentation betroffen sein.

Die Listenführung soll in risikobehafteten Gewerken einer schnellen Identifizierung von möglichen Infektionsketten dienen und ein lückenloses behördliches Monitoring sowie gegebenenfalls notwendige schnelle Reaktionen ermöglichen.

Problematisch ist hierbei, dass die Einführung entsprechender infektionsschutzdienlicher Pflichten Ländersache ist und sich so über Deutschland hinweg ein unübersichtliches Regelungsdickicht gespannt hat, das in einem Bundesland einzelne Dienstleister zur Führung und Übermittlung von Kundenlisten verpflichtet, in einem anderen Bundesland aber dieselben Dienstleister nicht.

Die Pflicht zur Führung von Kundenlisten besteht für bestimmte Gewerke insofern etwa in Bayern, Baden-Württemberg, Niedersachsen, Nordrhein-Westfalen, Niedersachsen und Sachsen-Anhalt.

In Hamburg besteht dahingegen beispielsweise eine Listenpflicht nicht.

II. Datenschutzrechtliche Anforderungen

Werden Kundendaten für die Listenführung erhoben und sodann in einer Liste dokumentiert, geht damit zwangsweise die Verarbeitung personenbezogener Daten einher. Gleiches gilt für die Übermittlung an Gesundheitsbehörden.

Dienstleister sind daher zwingend gehalten, bei der Kundendokumentation die Grundsätze des Datenschutzrechts zu beachten.

1.) Rechtsgrundlage für die Führung von Kundenlisten

Das länderspezifische Regelungsdickicht hat Konsequenzen für die Handhabung datenschutzrechtlicher Anforderungen, die mit der Erstellung, Führung und Übermittlung von Kundenlisten einhergehen.

Die damit vollzogenen Datenverarbeitungen bedürfen nämlich immer einer datenschutzrechtlichen Rechtfertigung. Hier knüpfen nun die Regelungen der einzelnen Länder an.

Sehen länderspezifische Verordnungen für Gewerke die Pflicht zur Erhebung von Kundendaten in Besucherlisten und zur Übermittlung an Gesundheitsbehörden vor, ist Rechtsgrundlage für die Verarbeitung immer die gesetzliche Anordnung selbst nach Art. 6 Abs. 1 lit. c DSGVO.

Sehen länderspezifische Gesetze eine Pflicht nicht vor, aber existiert beispielsweise eine gewerkschaftliche Empfehlung oder ein Ratschlag der Handelskammern, können Leistungserbringer die Führung von Kundenlisten rechtskonform auf Art. 6 Abs. 1 lit. e DSGVO stützen. Diese Vorschrift erlaubt Datenverarbeitungen, die zur Wahrnehmung einer Aufgabe erforderlich sind, die im öffentlichen Interesse liegt.

Ein solches öffentliches Interesse wird allerdings nur dort anerkannt, wo Dienstleister aufgrund der Eigenart ihrer Tätigkeit einen erforderlichen Mindestabstand regelmäßig nicht einhalten können. Dies gilt unter anderem für Frisörbetriebe, Kosmetik- und Nagelstudios sowie für Tattoostudios.

Jenseits von Leistungen mit einer besonderen Infektionsrelevanz dürfen Kundenlisten ohne entsprechende gesetzliche Anordnung grundsätzlich nur geführt werden, wenn der jeweilige Kunde individuell in die listenmäßige Erhebung seiner Daten einwilligt. Dies gilt etwa für Ladenlokale, da hier durch entsprechende zahlenmäßige Zutrittsbeschränkungen ein Mindestabstand ohne weiteres garantiert werden kann.

2.) Umfang der Erhebung

Zur Führung der Kundenlisten dürfen nur solche Daten erhoben werden, die für den infektionsrechtlichen Dokumentationszweck und mithin für die Nachvollziehung von Infektionsketten auch tatsächlich erforderlich sind.

Dies sind ausschließlich

• Vor- und Zuname
• Anschrift
• Telefonnummer
• Datum und Uhrzeit des Besuchs

3.) Datenschutzhinweise

Im Zusammenhang mit der Erhebung von Kundendaten für die Listenführung sind Dienstleister nach Art. 13 DSGVO verpflichtet, umfangreiche Informationen über den Umfang, den Zweck und den Gegenstand der Datenverarbeitung zu belehren und gleichzeitig Hinweise auf die Betroffenenrechte zu erteilen.

Jedem Datenerhebungsformular müssen also zwangsweise Datenschutzhinweise beigestellt werden.

4.) Keine öffentliche Auslage

Erheben Dienstleister Kundendaten zur Listenführung, ist unbedingt darauf zu achten, dass diese Daten zugriffs- und einblicksicher verwahrt werden.

Keinesfalls dürfen die formularmäßig abgefragten Datensätze anderen Besuchern zugänglich sein. Ebenfalls dürfen Kundenlisten nicht ausgehängt werden.

Empfehlenswert ist es daher, die Daten per Formular kundenspezifisch abzufragen, die Formulare nach deren Ausfüllung sicher zu verwahren und die Kundenliste mit den jeweiligen Formulardaten in einem zugriffsgeschützten Dokument elektronisch zu führen.

5.) Datenlöschungen

Die zur Führung der Kundenlisten erhobenen Daten dürfen ebenso wie die Listen selbst nicht beliebig lang aufbewahrt und archiviert werden.

Vielmehr sind sie dann zu löschen, wenn Sie für die Zwecke der Erhebung nicht mehr erforderlich ist.

Da die Daten einer frühzeitigen Erkennung von Infektionsketten und gegebenenfalls der Benachrichtigung von Risikopersonen dienen, ist für die Aufbewahrungspflicht auf die medizinisch belegte Inkubationszeit und den Krankheitsverlauf bei Covid-19-Infektionen abzustellen.

Dies indiziert eine Löschungspflicht 4 Wochen nach der Datenerhebung.

6.) Darf die Leistungserbringung von der Kundenbereitschaft zur Formularausfüllung abhängig gemacht werden?

Erhebt ein Leistungserbringer Kundendaten per Formular, um diese für die Führung einer Dokumentationsliste zu verwenden, stellt sich schließlich die Frage, wie mit Kunden umzugehen ist, die eine Bereitstellung Ihrer Daten verweigern.

Ausschließlich dann, wenn dem Dienstleister die Führung von Kundenlisten gesetzlich vorgeschrieben ist, darf (und muss) er Kunden seine Leistung verweigern, welche ihre Listendaten nicht bereitstellen wollen.

In Fällen, in denen eine gesetzliche Pflicht zur Listenführung nicht besteht, muss die Bereitstellung von Daten für die Kunden optional sein und darf nicht an das Ob der Leistungserbringung geknüpft werden.

III. Exklusiv für Mandanten: Muster-Erhebungsformular

Exklusiv für Mandanten, welche von der Pflicht zur Führung von Kundenlisten betroffen sind oder Adressat einer entsprechenden Empfehlung sind, stellt die IT-Recht Kanzlei ein datenschutzkonformes Muster-Erhebungsformular mit den erforderlichen Datenschutzhinweisen bereit.

Das Formular kann ab sofort hier abgerufen werden.

Tipp: Sie haben Fragen zu dem Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.