Die Datenschutzaufsichtsbehörde NRW hat heute die nachstehenden Hinweise für Gastronomiebetriebe herausgegeben. Von einer sinngemäßen Anwendung auch für andere Branchen des Einzelhandels, die einer Geschäftsschließung unterliegen und Lieferservices anbieten, kann ausgegangen werden.
Zulässigkeit bei behördlicher Anordnung
Ein (Schnell-)Restaurant darf den Zugang, die Bedienung seiner Kundschaft bzw. eine Bestellung im Zusammenhang mit dem CORONA-Virus grundsätzlich NICHT davon abhängig machen, dass die Kontaktdaten in eine Liste eingetragen werden – zum Beispiel Name, Adresse und Telefonnummer. Im Regelfall überwiegen die Interessen der Kundschaft, dass ihre Daten in dieser Liste nicht erfasst werden.
Anders stellt sich die Situation aber zum Beispiel dar, wenn diese Erfassung wegen einer behördlichen Anordnung gegenüber der Gastronomie erforderlich ist.
Anm: Eine entsprechende behördliche Anordnung ist für Niedersachsen am 20.03.2020 ergangen
Auslage der Listen
Auf keinen Fall dürfen diese Listen für jedermann frei zugänglich ausgelegt sein. Bei der konkreten Handhabung sind einerseits die Vorgaben zur Verhütung einer Corona-Infektion und die datenschutzrechtlichen Anforderungen andererseits zu beachten. Soweit die Verarbeitung personenbezogener Daten bei der Bekämpfung der Corona-Pandemie hilft, geht die Aufsichtsbehörde davon aus, dass alle Verantwortlichen sich zugleich der Anforderungen an den Datenschutz bewusst sind. In der bislang so wohl noch nicht dagewesenen Lage, haben die Verantwortlichen einen weiten Spielraum bei der Beantwortung der Frage, welche organisatorischen Maßnahmen im Einzelfall erforderlich und angemessen sind.
Zweckbindung, Datenminimierung und Informationspflichten
Auch ist die Erlaubnis der Datenverarbeitung auf die Erfüllung der jeweiligen gesetzlichen Pflicht beschränkt (Grundsatz der Zweckbindung – Art. 5 Abs. 1 lit. b DS-GVO).
Und sie darf nur die Daten, die Verarbeitungsschritte und die Speicherzeiträume umfassen, die zur Erfüllung der gesetzlichen Pflichten erforderlich sind (Grundsatz der Datenminimierung – Art. 5 Abs. 1 lit. c DS-GVO).
Weiterhin muss die Kundschaft bei Erhebung der Daten über die Datenverarbeitung transparent und verständlich nach Art. 13, 14 DS-GVO informiert werden. Hierzu zählt eine notwendige Erläuterung zum Verwendungszweck der Datenverarbeitung.
Den vollständigen Text der Veröffentlichung finden Sie hier: https://www.ldi.nrw.de/