Wir alle kennen diese Situation – ein Gast möchte nach den Lockdown-Lockerungen den ersten Kaffee in einer Gaststätte bestellen. Davor kommt der Kellner freundlich auf den Gast zu und fordert ihn auf, seine persönlichen Daten zum Zwecke der Nachverfolgung von Infektionsketten aufgrund des Covid-19 Virus anzugeben.

Ist das wirklich notwendig? – Ja, tatsächlich. So ist es.

Ein Gast darf die Gaststätte nämlich nur dann besuchen und darin etwas verzehren, wenn er seine persönlichen Daten zur Verfügung stellt. Anderenfalls kann er lediglich ein evtl. vorhandenes Take Away-Angebot oder einen Lieferdienst nutzen. Dies ergibt sich aus den länderspezifischen Verordnungen über infektionsschützende Maßnahmen gegen die Ausbreitung des Virus SARS-CoV-2 (Corona-Verordnung-CoronaVO) vom 30. November 2020 (in der ab 22. Februar 2021 gültigen Fassung).

In § 6 CoronaVO der Landesregierung Baden-Württemberg über infektionsschützende Maßnahmen gegen die Ausbreitung des Virus SARS-CoV-2 heißt es beispielsweise:

„(1) Soweit durch Regelungen dieser Verordnung oder aufgrund dieser Verordnung Daten zu verarbeiten sind, dürfen von den zur Datenverarbeitung Verpflichteten von Anwesenden, insbesondere Besucherinnen und Besuchern, Nutzerinnen und Nutzern oder Teilnehmerinnen und Teilnehmern, Vor- und Nachname, Anschrift, Datum und Zeitraum der Anwesenheit und, soweit vorhanden, die Telefonnummer ausschließlich zum Zwecke der Auskunftserteilung gegenüber dem Gesundheitsamt oder der Ortspolizeibehörde nach §§ 16, 25 IfSG erhoben und gespeichert werden. Einer erneuten Erhebung bedarf es nicht, soweit die Daten bereits vorhanden sind. § 28a Absatz 4 Sätze 2 bis 7 IfSG bleibt unberührt.

(2) Die zur Datenverarbeitung Verpflichteten haben Personen, die die Erhebung ihrer Kontaktdaten nach Absatz 1 Satz 1 ganz oder teilweise verweigern, von dem Besuch oder der Nutzung der Einrichtung oder der Teilnahme an der Veranstaltung auszuschließen.

(3) Soweit Anwesende Kontaktdaten nach Absatz 1 Satz 1 gegenüber den zur Datenverarbeitung Verpflichteten angeben, müssen sie zutreffende Angaben machen.“

Nach der länderspezifischen CoronaVO in NRW können Gaststättenbetreiber auch eine digitale Datenerfassung anbieten (§ 4a Abs. 4 CoronaSchVO NRW). Sowohl die Verarbeitung der personenbezogenen Daten über Listen in Papierform als auch in digitaler Form fallen unter den Anwendungsbereich der Datenschutz-Grundverordnung. Nach Art. 4 Nr. 2 DSGVO versteht man nämlich unter einer „Verarbeitung“ „jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang […] im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, das Organisieren, […].

Bei der Verarbeitung dieser personenbezogenen Daten hat der Gaststättenbetreiber dringend zu beachten, dass die Gäste bei Angabe ihrer eigenen personenbezogenen Daten keinesfalls die Möglichkeit haben dürfen, die Daten der anderen Gäste in der Liste einzusehen (um auf diese Weise beispielsweise Kontakt mit der netten Tischnachbarin aufzunehmen). Dies ist aus datenschutzrechtlicher Sicht kritisch zu beurteilen. Nach dem Grundsatz der Zweckbindung dürfen die Daten ausschließlich zum Zwecke der Auskunftserteilung gegenüber dem Gesundheitsamt oder der Ortspolizeibehörde nach §§ 16, 25 IfSG erhoben und gespeichert werden, vgl. § 6 Abs. 1 der Verordnung. Diese Daten können dann von den Gesundheitsbehörden nach Maßgabe der §§ 16 und 25 des Infektionsschutzgesetzes, insbesondere zur Kontaktnachverfolgung von möglichen Infektionswegen genutzt werden.