Corona-Besuchslisten: Das sind Ihre Rechte

Ob beim Restaurantbesuch oder beim Haareschneiden – zurzeit müssen sich alle Besuchenden in Listen eintragen, um eine Rückverfolgung von möglichen Infektionsketten zu gewährleisten. Dabei werden personenbezogene Daten erfasst und bearbeitet. Doch was gibt es in Bezug auf den Datenschutz zu beachten? Wie lange müssen die Daten beispielsweise aufbewahrt werden? Und was sind Ihre Rechte? Im Folgenden erhalten Sie einen Überblick über die wichtigsten Punkte rund um Corona-Besuchslisten.

In vielen Bereichen des öffentlichen und geschäftlichen Lebens ist die Erhebung personenbezogener Daten laut den Coronaschutzverordnungen (CoronaSchVO) der Länder auch ohne Einverständnis der Betroffenen erlaubt. Es gilt aber eine Zweckbindung. Das heißt, dass die erhobenen Daten nur zur Rückverfolgung von Infektionsketten verwendet werden dürfen und für keine anderen Zwecke. Newsletter oder Werbeangebote dürfen dementsprechend nicht an die erfassten Personen versendet werden.

Die CoronaSchVO von NRW (§ 4a) schreibt die Erfassung von Name, Adresse, Telefonnummer und Zeitraum des Aufenthalts bzw. Zeitpunkt von An- und Abreise vor. Bei der sogenannten besonderen Rückverfolgbarkeit, wie beispielsweise in Schulen, wird zusätzlich ein Sitzplan angefertigt. Personenbezogene Daten, die darüber hinausgehen, dürfen nicht erfasst werden bzw. Sie sind nicht verpflichtet, weitere Angaben zu machen. 

Die erfassten Daten sind vor dem Zugriff Unbefugter zu schützen. Das heißt, dass bei der Erfassung neuer Daten die bereits erfassten Daten nicht sichtbar sein dürfen. Eine lange Liste, in der die Besuchenden für alle sichtbar aufgelistet sind, ist nicht datenschutzkonform. Alle Besuchenden sollten einen eigenen Zettel erhalten bzw. sich separat in eine entsprechende digitale Liste eintragen. 

Die DSGVO sieht Transparenz bei der Erhebung und Verarbeitung personenbezogener Daten vor. Das gilt auch für die Corona-Besuchslisten. Daher müssen die Unternehmen ihre Besuchenden über die weitere Verarbeitung ihrer Daten informieren, darunter fällt u.a. die Ansprechperson im Unternehmen und wie lange, auf welcher Rechtsgrundlage sowie zu welchem Zweck die Daten gespeichert werden. Diese Informierung kann mündlich und / oder schriftlich, z.B. durch entsprechende Aushänge, erfolgen. Werden die Daten online erhoben, können diese Informationen in den Nutzungsbedingungen hinterlegt werden. 

Auch bei der Aufbewahrung personenbezogener Daten muss darauf geachtet werden, dass sie Unbefugten nicht zugänglich sind und nicht im Nachhinein verändert werden können. Welche Maßnahmen hier geeignet sind, muss im Einzelfall geprüft werden. Prinzipiell ist aber möglich, die Listen beispielsweise in verschlossenen Umschlägen sortiert und nummeriert nach Datum an einem sicheren Ort außerhalb des Zugriffs von Mitarbeitenden und Besuchenden aufzubewahren.

Laut CoronaSchVO von NRW sind die Daten vier Wochen aufzubewahren. Die Länder schreiben allerdings unterschiedliche Aufbewahrungsfristen, die von drei bis sechs Wochen reichen können, vor. Informieren Sie sich im Zweifelsfall über die Verordnung in Ihrem Bundesland. Allgemein gilt aber, dass die Daten nur so lange aufbewahrt werden wie es zur Zweckerreichung notwendig ist.