Handlungshilfe des HBDI zum Führen von Kontaktlisten durch das Friseurhandwerk

Die durch die Berufsgenossenschaft für Gesundheitsdienst und Wohlfahrtspflege (BGW) veröffentlichten „SARS-CoV2-Arbeitsschutzstandards für das Friseurhandwerk (Stand 08.05.2020)“ werfen im Hinblick auf den Datenschutz hinsichtlich der praktischen Umsetzung sowie der rechtlichen Einordnung Fragen auf. In den folgenden Empfehlungen möchte der Hessische Beauftragte für Datenschutz und Informationsfreiheit den Friseurbetrieben daher eine Handlungshilfe für den Umgang mit den Kontaktlisten geben.

Fotolia_190479583_S.jpg

Checklist box

I. Rechtsgrundlage

Nach derzeitiger Auffassung des Hessischen Beauftragten für Datenschutz und Informationsfreiheit ergibt sich die Rechtsgrundlage zum Führen von Kontaktlisten in Friseursalons aus Art. 6 Abs. 1 lit. f) DS-GVO.

Da die Datenerfassung sich also nicht auf eine allgemeingültige Rechtspflicht stützt, obliegt die Entscheidung, ob Personen, die sich nicht in die Liste eintragen wollen, bedient werden, dem Friseurbetrieb. Ein Kunde darf mithin – sollte er sich nicht in die Liste eintragen wollen – bedient oder auch abgelehnt werden.

II. Führen der Kontaktlisten

Die Arbeitsschutzstandards geben hinsichtlich der zu erfassenden Kontaktdaten der Kunden keine bestimmten Vorgaben. Ich empfehle daher, sich hier an den Vorgaben der Corona-Kontakt- und Betriebsbeschränkungsverordnung (CoKoBeV) zu orientieren. Hiernach sollen die zur Erhebung von Kontaktdaten verpflichteten Betriebe Name, Anschrift und Telefonnummer der Kundinnen und Kunden erfassen.

Es ist darauf zu achten, dass die Listen nicht öffentlich geführt werden und für die Kundinnen und Kunden nicht zugänglich sind. Die Auflistungen sind verdeckt zu führen. D. h. die Kundinnen und Kunden dürfen keine Kenntnis über die Namen und die Daten anderer Kundinnen und Kunden erhalten. Es ist daher erforderlich, dass die Kontaktdaten durch das Personal erfasst und in die Liste eingetragen werden. Andere datenschutzkonforme Lösungen, wie z. B. die Nutzung eines Einzelformulars je Kunde, sind ebenfalls möglich.

Zu beachten ist, dass die Kontaktdaten der Kunden ausschließlich zu dem Zweck erhoben und aufbewahrt werden, um etwaige Infektionsketten nachvollziehen zu können. Die Nutzung dieser Daten zu anderen Zwecken, wie z.B. Werbung oder anderweitige Kommunikation mit den Kundinnen und Kunden, ist unzulässig.

III. Dauer der Aufbewahrung der Listen und datenschutzkonforme Vernichtung

Die Dauer der Datenaufbewahrung lässt sich den Arbeitsschutzstandards nicht entnehmen. Lediglich in dem Muster der BGW zu Art. 13 DS-GVO findet sich der Hinweis, dass die Daten nach sechs Wochen gelöscht werden.

Da es sich hierbei nach Auffassung des Hessischen Beauftragten für Datenschutz und Informationsfreiheit nicht um eine verbindliche Regelung handelt, können sich die Friseurbetriebe auch diesbezüglich an den Vorgaben der CoKoBeV orientieren. Hier hat der Verordnungsgeber eine Aufbewahrungsdauer von einem Monat als ausreichend erachtet.

Spätestens nach Ablauf von sechs Wochen sind die Listen datenschutzkonform zu vernichten. Insbesondere ist keine ungeschredderte Vernichtung im Haus- oder Papiermüll vorzunehmen. So soll sichergestellt werden, dass unberechtigte Dritte keine Kenntnis davon erlangen können, wer wann den Friseurbetrieb besucht hat und wie dessen Kontaktdaten lauten.

IV. Herausgabe der Kundenlisten

Gemäß § 3 Abs. 1 Hessisches Gesetz über den öffentlichen Gesundheitsdienst (HGöGD) obliegt die Aufgabe des öffentlichen Gesundheitsdienstes i. d. R. den unteren Gesundheitsbehörden (Gesundheitsämtern). Es werden daher in der Regel die Gesundheitsämter sein, an die entsprechende Listen herauszugeben wären.

V. Betroffenenrechte

Anders als die durch die CoKoBeV zur Datenerhebung verpflichteten Betriebe, sind Friseure nicht von den datenschutzrechtlichen Information- und Auskunftspflichten befreit. Insbesondere ist insoweit die Pflicht nach Art. 13 DS-GVO zur Information über die Erhebung personenbezogener Daten zu beachten. Auf Antrag ist der betroffenen Person Auskunft nach Art. 15 DS-GVO zu erteilen. Unter Umständen kann die betroffene Person gemäß Art. 21 DS-GVO Widerspruch gegen die Verarbeitung einlegen.

VI. Information Art. 13 DS-GVO

Die BGW stellt auf ihrer Homepage dem Friseurhandwerk ein Muster der BGW zu Art. 13 DS-GVO zur Verfügung. Dieses entspricht jedoch nicht vollends den Vorgaben des Art. 13 DS-GVO. So fehlen hier die Angaben zum Verantwortlichen sowie die Ausführungen zu Betroffenenrechten und zum Beschwerderecht bei einer Aufsichtsbehörde. Auch auf die Verpflichtung der betroffenen Person, die personenbezogenen Daten bereitzustellen, und welche möglichen Folgen die Nichtbereitstellung hätte, wird nicht eingegangen. Diese Angaben müssten durch die Friseurbetriebe in dem Muster ergänzt werden.

VII. Widerspruchsrecht gem. Art. 21 Absatz 1 DS-GVO

Betroffene Personen haben das Recht, gem. Art. 21 Absatz 1 DS-GVO Widerspruch gegen die Verarbeitung ihrer Daten einzulegen. Dieses Recht besteht jedoch nicht voraussetzungslos. Vielmehr ist ein Widerspruch nur dann zu beachten, wenn die betroffene Person hierfür Gründe vorbringen kann, die sich aus ihrer besonderen Situation ergeben und trotz Vorliegens dieser Gründe keine zwingenden und überwiegenden Gründe gegen die Erfassung der Kontaktdaten sprechen. Da die Erfassung der Kontaktdaten dem Gesundheitsschutz dient, sind kaum Gründe vorstellbar, die einen Widerspruch rechtfertigen würden. Insbesondere ein allgemeines Unbehagen oder ein Hinweis auf die Regelungen des Datenschutzes rechtfertigt einen Widerspruch nicht. Ein solcher Widerspruch ist also in der Regel unbeachtlich. Bestehen dennoch Zweifel an der Zulässigkeit der Erhebung der Kontaktdaten, hat diese zu unterbleiben.

SERVICE