Im Rahmen der schrittweisen Wiedereröffnung des öffentlichen Lebens werden den Gaststätten durch die Covid-19-Verordnungen in vielen Bundesländern zusätzliche Pflichten übertragen, die die Gastronomen neben erheblichem Mehraufwand auch mit neuen datenschutzrechtlichen Herausforderungen konfrontieren. Die einzelnen Regelungen sind von Bundesland zu Bundesland unterschiedlich.
Wir zeigen auf, worüber Sie Ihre Gäste jetzt informieren, und was Sie hierbei beachten müssen.
Welche Daten sind beim Gaststättenbesuch zu erheben und worüber ist zu informieren?
Ob, und wenn ja in welchem Umfang Sie im Rahmen des Gaststättenbetriebs personenbezogene Daten von Ihren Gäste erheben müssen, hängt von den jeweiligen Verordnungen des Bundeslandes ab, in dem Ihr Betrieb sitzt. Wichtig ist, dass sich dabei auch der Umfang der zu erhebenden Daten unterscheidet, in der Regel handelt es sich jedoch um Namen, Anschrift und Telefonnummer.
Sie müssen zum Zeitpunkt der Erhebung Ihre Gäste diese informieren, welche Daten Sie erheben und auf welcher Rechtsgrundlage dies geschieht. Dabei müssen Sie auch mitteilen, ob und in welchen Fällen Sie Daten an Dritte, z.B. Gesundheitsämter weiter geben.
Was ist die rechtliche Grundlage der Datenverarbeitung?
Im Rahmen der staatlich verordneten Erhebung von den Kontaktdaten der Kunden ist als Rechtsgrundlage hier Art. 6 Abs. 1 lit. c) DSGVO in Verbindung mit dem Infektionsschutzgesetz und der jeweils anwendbaren Verordnung (für RLP bspw. § 2 Abs. 2 CoBeLVO, für Hessen § 4 Abs. 2 Nr. 3 Corona-Kontakt- und Betriebsbeschränkungs-VO) einschlägig.
Worauf ist noch zu achten?
Achten Sie bei der Datenerhebung stets darauf, dass andere Gäste keinen Einblick in die erhobenen Daten der anderen haben. Die gängige Variante der für alle einsehbaren Liste, in der sich die Kunden selbst eintragen, ist zumindest in keinem Fall zulässig. Die Datenschutzbehörden weisen darauf hin, dass bei vorheriger Reservierung eine gleichzeitige Erhebung der Daten zur Erfüllung der Covid-19-Verordnungen nur zulässig ist, wenn die jeweilige Verordnung dies ausdrücklich anordnet. Wenn Sie die Daten erheben, ist es legitim sich den Ausweis zeigen zu lassen – Kopien anzufertigen sollte allerdings unterbleiben.
Speicherdauer und Löschung der Daten
Sie müssen Ihre Gäste darüber informieren, wann Sie die Daten wieder löschen.
Die Covid-19-Verordnungen bestimmen, wann die erhobenen Daten wieder zu löschen sind (in der Regel nach einem Monat). Stellen Sie durch Löschroutinen sicher, dass die Daten auch nach diesem Zeitraum unwiederbringlich gelöscht werden. Wenn Sie die Daten auf Papier festgehalten haben, können Sie diese nicht einfach im Hausmüll entsorgen, idealerweise werden diese mit Aktenvernichtern der Sicherheitsstufe P4 oder höher vernichtet. Sind die Daten digital gespeichert, so ist es nicht ausreichend, die betreffende Datei in den Papierkorb zu verschieben. Auch hier sollten die Daten endgültig gelöscht sein.
Rechte der Betroffenen
Die Gäste sind über Ihre Betroffenenrechte nach der DSGVO zu informieren. Dies kann über eine Website geschehen, im Rahmen der Datenschutzerklärung oder auch über ein Informationsblatt, was in der Gaststätte problemlos einsehbar ist, etwa als Aufsteller beim Eingang.