Coronavirus: Erfassung von Kontaktdaten und Datenschutz

Datenschutz: Erfassung von Kontaktdaten zwecks Rückverfolgung von Corona-Infektionen

Anlässlich der rasanten Ausbreitung des Coronavirus SARS-CoV-2 und der fortschreitenden Lockerungen der Kontaktverbote ist es wichtig, die Infektionsketten nachverfolgen zu können, um frühzeitig eine weitere Ausbreitung des Virus einzudämmen. Die Nachverfolgung der Infektionsketten ist nur durch die Erfassung, Speicherung, Auswertung sowie Übermittlung von personenbezogenen Daten an die zuständigen Behörden möglich.

Rechtsgrundlage zur Erfassung von Kontaktdaten

Rechtsgrundlage für die zuvor genannte Datenverarbeitung können sein:

• die Erfüllung einer rechtlichen Verpflichtung, sofern eine gesetzliche Vorgabe oder behördliche Anordnung existiert,
• die allgemeine Gesundheitsvorsorge oder
• die Einwilligung.

Landesgesetzliche Verpflichtung zur Erfassung von Kontaktdaten

In folgenden Bundesländern gibt es eine gesetzliche Vorgabe zur Datenverarbeitung zwecks Nachverfolgung von Infektionsketten:

Die Erfassung und weitere Verarbeitung der Kontaktdaten sollte nur dann auf die Einwilligung gestützt werden, wenn dem Verantwortlichen in dem jeweiligen Bundesland keine rechtliche Verpflichtung zur Erhebung und Verarbeitung von Besucherdaten auferlegt wird.

Beispiel: Erfassung von Kontaktdaten

In Nordrhein-Westfalen ist eine rechtliche Verpflichtung zur Erhebung und Verarbeitung von Besucherdaten in § 2a Abs. 1 CoronaSchVO und in § 3 Abs. 5 CoronaBetrVO normiert. Einer Einwilligung des betroffenen Besuchers in die Verarbeitung seiner personenbezogenen Daten bedarf es daher nicht, auch wenn man dies aufgrund der missverständlichen Formulierung in § 2a Abs. 1CoronaSchVO und in § 3 Abs. 5 CoronaBetrVO zunächst anzunehmen mag (vgl. den Hinweis der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen).

Allgemeine Vorgaben zum Umgang mit Besucherdaten

Für verschiedene Lebensbereiche (u.a. Schulen, Kitas, Gastronomie, Handwerks- und Dienstleitungsgewerbe, stationäre Gesundheits- und Pflegeeinrichtungen wie Krankenhäuser oder Altenheime), in denen mehrere Personen zusammenkommen, gibt es unterschiedliche spezielle Vorgaben, welche personenbezogene Daten wie zu verarbeiten sind. Die Dauer ihrer Vorhaltung variiert ebenfalls. Allen ist jedoch gemein, dass

• mindestens folgende personenbezogenen Daten erhoben werden:
  
  - Nachname, Vorname
  - Adresse
  - Telefonnummer
   
• bei wechselndem Personenkreis: Zeitraum des Aufenthaltes bzw. Zeitpunkt der An- und Abreise
• die erhobenen Kontaktdaten nicht jedermann zugänglich sein dürfen,
• der Verantwortliche die Übermittlung der Kontaktdaten an die Behörden dokumentieren sollte,
• die Übermittlung der Kontaktdaten nur auf einem sicheren Übertragungsweg geschehen darf,
• die zwecks Nachverfolgung erhobenen Kontaktdaten nicht für andere Zwecke wie die Werbung oder einen Newsletterdienst verwendet werden dürfen,
• die Besucher über die Datenverarbeitung zwecks Nachverfolgung der Infektionsketten mit Hilfe einer entsprechenden Datenschutz-Information im Sinne von Artt. 12 – 14 DS-GVO bzw. der entsprechenden kirchenrechtlichen Vorgaben zur Informationspflicht zu informieren sind und
• die nicht mehr erforderlichen Daten (nach Ablauf der Vorhaltungspflicht) entsprechend der Schutzklasse 3 und Sicherheitsstufe 4 zu entsorgen bzw. zu löschen sind.

Fazit

Angesichts der Tatsache, dass der Umgang mit personenbezogenen Daten zur Eindämmung der Corona-Pandemie in den Bundesländern unterschiedlich und in manchen Bundesländern auch in mehreren Vorschriften geregelt ist, herrscht zuweilen eine große Unsicherheit im Hinblick auf den datenschutzkonformen Umgang mit personenbezogenen Daten von Besuchern. Aus diesem Grunde stellen wir Ihnen Muster einer Datenschutz-Information sowie eines Fragebogens für die Datenerfassung im Zuge der Corona-Pandemie zur Verfügung:

• Datenschutz-Information zur Datenverarbeitung im Zuge der Corona-Pandemie
• Fragebogen zur Erfassung von Besucherdaten