Source: https://www.aus-der-aktentasche.de/2020/05/13/kundendaten-erheben/
Timestamp: 2020-07-10 12:21:43
Document Index: 285560253

Matched Legal Cases: ['§ 7', '§6', '§ 2', '§ 7', 'Art. 13', 'Art. 13', 'Art. 13']

﻿ Corona: Viele Selbstständige müssen jetzt Kundendaten erheben
Das Bayerischen Landesamt für Datenschutzaufsicht hat zudem ein Sofortmaßnahmen-Paket Datenschutz-Grundverordnung herausgebracht, das einen guten Überblick bietet. Die niedersächsische Landesdatenschutzbeauftragte hat einen Katalog veröffentlicht, nach dem Unternehmen überprüft werden. Sehr aufschlussreicht!
Die Pflicht aus der niedersächsischen ConronaVO umfasst die Kontaktdaten alle Kundinnen und Kunden sowie den Zeitpunkts des Betretens und Verlassens des Betriebs. Hinsichtlich dieser Daten besteht eine Aufbewahrungspflicht von drei Wochen. Personen, die nicht einverstanden sind, dürfen nicht bedient, unterrichtet oder geprüft werden. Die Landesdatenschutzbeauftragte hat hierzu Hinweise veröffentlicht.
Frisörinnen und Frisöre sowie Betreiberinnen und Betreiber eines Manikürestudios, Pedikürestudios, Kosmetikstudios oder einer Massagepraxis (§ 7 Abs. 1 Sätze 3 und 4 CoronaVO),
Restaurationsbetriebe, insbesondere Restaurants, Gaststätten, Biergärten im Freien, Imbisse, Cafés, allein oder in Verbindung mit anderen Einrichtungen, und Kantinen (§6 Abs. 1 Satz 5 CoronaVO),
Volkshochschulen, sonstige öffentliche und private Bildungseinrichtungen im außerschulischen Bereich sowie Musikschulen (§ 2h Satz 2 CoronaVO) und
Fahrschulen, Fahrlehrerausbildungsstätten, Flugschulen und anerkannte Aus- und Weiterbildungsstätten nach dem Berufskraftfahrer-Qualifikations-Gesetz sowie Aus- und Weiterbildungsbildungsstätten für Triebfahrzeugführer und anderes Personal im Bereich der Eisen- und Straßenbahnen (§ 7 Abs. 3 Satz 2 CoronaVO).
Und das teilt die Landesdatenschutzbeauftragte mit:
Wenn mit Erfassungslisten gearbeitet wird, ist darauf zu achten, dass keine Person die Daten anderer Personen zur Kenntnis nehmen kann.
Der Verantwortliche sollte deshalb die Daten erfragen (Vornamen, Familienname, vollständige Anschrift und Telefonnummer) und selbst in entsprechende Listen eintragen. Damit könnte zugleich die Lesbarkeit der erhobenen Daten sichergestellt werden, soweit die Listen manuell in Papierform geführt werden.
Ein eigenständiges Eintragen der Kontaktdaten durch die Kundinnen und Kunden bzw. der Teilnehmenden (in manuelle Listen) ist aus Datenschutzsicht nur zulässig, wenn vorherige Einträge abgedeckt werden.
Für jeden Tag sollte zudem eine neue Liste begonnen werden, um so taggenau den Löschfristen nachkommen zu können (s.u. Ziff. 3)
Die Kundinnen und Kunden bzw. Teilnehmenden müssen über die Datenerhebung gem. Art. 13 Datenschutzgrundverordnung (DS-GVO) informiert werden. Um dieser Informationspflicht nachzukommen könnte dort, wo die Daten erfasst werden (z. B. im Empfangsbereich), ein Aushang angebracht oder ein Informationsblatt ausgelegt werden. Die Informationen müssen beinhalten:
Dauer der Speicherung (drei Wochen bzw. ein Monat, siehe dazu D.),
Sind im Betrieb oder der Bildungseinrichtung bereits Informationen nach Art. 13 DS-GVO für Kundinnen und Kunden bzw. Teilnehmende vorhanden, da in der Vergangenheit bereits deren Daten erfasst wurden, müssen diese lediglich ergänzt werden (neuer Zweck, dessen Rechtsgrundlage, Speicherdauer, Empfänger der Daten).
Verschiedene Muster für einen Aushang zur Erfüllung der Informationspflichten finden Sie im Download-Bereich [der Landesbauftragten für Datenschutz Niedersachsen – dort rechts oben]. Diese beziehen sich ausschließlich auf die Verarbeitung von Kunden- und Teilnehmerdaten im Zusammenhang mit der niedersächsischen Corona-Verordnung. Sie sind kein allgemeines Muster für die Informationspflichten nach Art. 13 (und 14) DS-GVO.
Listen oder Auszüge aus Listen sollten ausschließlich bei schriftlicher Aufforderung z. B. durch das Gesundheitsamt oder durch eine andere öffentliche Stelle übermittelt werden. Jede Aufforderung zur Übermittlung und die Übermittlung selbst müssen dokumentiert werden, um der Rechenschaftspflicht nachzukommen (welche Liste wurde an wen wie übermittelt). Die Daten sollten nur auf einem sicheren Übertragungsweg übermittelt werden (per Post, per Fax oder per Mail mit Ende-zu-Ende-Verschlüsselung). Die Übermittlung per Mail ohne Ende-zu-Ende-Verschlüsselung ist kein geeigneter sicherer Übertragungsweg.
Die Daten sind nach drei Wochen (gilt für Einrichtungen der Punkte 1. und 2.) bzw. nach spätestens einem Monat (Einrichtungen der Punkte 3. und 4.) nach dem letzten Kontakt mit der betreffenden Person zwingend zu vernichten bzw. zu löschen. Das muss datenschutzkonform geschehen, z. B. durch Schreddern der Listen mit einem Aktenvernichter bei Papierunterlagen bzw. durch sicheres Löschen bei digitalen Formaten. Unzureichend wäre es, Papierunterlagen in Gänze oder nur zerrissen in den Hausmüll bzw. die Altpapiertonne zu geben bzw. Dateien lediglich in den digitalen Papierkorb zu verschieben und diesen zu entleeren. Für ein datenschutzkonformes Löschen ist der Einsatz zusätzlicher Löschtools erforderlich, die ein unwiederbringliches Löschen von Dateien gewährleisten.