Sofern eine Dokumentationspflicht besteht, bezieht sich diese für alle Branchen und Einrichtungen auf folgende Daten:

• Familienname,
• Vorname,
• vollständige Anschrift,
• eine Telefonnummer,
• den Zeitpunkt des Betretens und Verlassens des Betriebs bzw. der Einrichtung.

Die vollständige Anschrift umfasst die Angabe der privaten Adresse in Form von Straße, Hausnummer, Postleitzahl und Wohnort.

Bei dienstlichen Tätigkeiten genügen die dienstlichen Kontaktdaten, also die Anschrift des Unternehmens bzw. der Behörde. Wenn also eine Physiotherapeutin ein Altenheim aufsucht, um eine Bewohnerin oder einen Bewohner zu behandeln, ist die Postanschrift der Praxis anzugeben.

Die Kontaktdaten müssen wahrheitsgemäß angegeben werden, § 4 Satz 6 CoronaVO.

Erhebung der Daten

Es ist zu gewährleisten, dass unbefugte Dritte von den erhobenen Kontaktdaten keine Kenntnis erlangen.

Um dieser Forderung aus § 4 Satz 4 CoronaVO nachkommen zu können, sollten die Daten mit einzelnen Erfassungszetteln erhoben werden, auf denen sie von den betroffenen Personen (also von Kundinnen und Kunden, den Besucherinnen und Besuchern bzw. von Teilnehmenden) selbst eingetragen werden.

Um keine unbefugte Kenntnis zu ermöglichen, sind die Erfassungszettel anschließend zugriffssicher abzulegen, also z.B. nicht in offenen Körben.

Es dürfen nur die Daten erhoben werden, die gemäß CoronaVO verlangt werden.

Sofern nicht mit einzelnen Zetteln, sondern mit Listen gearbeitet wird, ist darauf zu achten, dass keine Person die Daten anderer Personen zur Kenntnis nehmen kann. Der Verantwortliche sollte deshalb die Daten selbst erfragen und eigenständig in die Liste eintragen. Damit könnte zugleich die Lesbarkeit der erhobenen Daten sichergestellt werden, soweit die Listen handschriftlich geführt werden.
Für jeden Tag sollte zudem eine neue Liste begonnen werden, um so taggenau den Löschfristen nachkommen zu können.

Informationspflichten

Die betroffenen Personen müssen über die Datenerhebung gem. Art. 13 Datenschutzgrundverordnung (DS-GVO) informiert werden. Um dieser Informationspflicht nachzukommen könnte dort, wo die Daten erfasst werden (z. B. im Empfangsbereich), ein Aushang angebracht oder ein Informationsblatt ausgelegt werden. Die Informationen müssen beinhalten:

• Name und Kontaktdaten des Verantwortlichen,
• Kontaktdaten des Datenschutzbeauftragten (soweit vorhanden),
• Zwecke, zu denen die personenbezogenen Daten verarbeitet werden sowie die Rechtsgrundlagen der Verarbeitung,
• Empfänger oder Kategorien von Empfängern (z.B. Gesundheitsamt, für den Fall, dass sich eine Person nachträglich als infiziert herausstellen sollte),
• Dauer der Speicherung (höchstens ein Monat),
• Hinweis auf das Bestehen des Rechts auf Auskunft, auf Berichtigung und auf Beschwerde bei einer Aufsichtsbehörde (Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover),
• Hinweis, dass die betroffenen Personen nur die Dienstleistung in Anspruch nehmen bzw. die Einrichtung betreten können, soweit sie mit der Datenerfassung einverstanden sind.
• Sind im Betrieb oder der Einrichtung bereits Informationen nach Art. 13 DS-GVO für Kundinnen und Kunden bzw. Teilnehmende vorhanden, da in der Vergangenheit bereits deren Daten erfasst wurden, müssen diese lediglich ergänzt werden (neuer Zweck, dessen Rechtsgrundlage, Speicherdauer, Empfänger der Daten).

Verschiedene Muster für einen Aushang zur Erfüllung der Informationspflichten finden Sie im Download-Bereich rechts bzw. unten (mobile Ansicht). Diese beziehen sich ausschließlich auf die Verarbeitung von Kunden-, Besucher- und Teilnehmerdaten im Zusammenhang mit der niedersächsischen Corona-Verordnung. Sie sind kein allgemeines Muster für die Informationspflichten nach Art. 13 (und 14) DS-GVO.

Sollte ein Betrieb bzw. eine Einrichtung noch nicht explizit aufgeführt sein, können die Muster für andere Betriebe und Einrichtungen mit geringfügigen Änderungen verwendet werden.

Aufbewahrung

Ziel der Dokumentation ist es lt. § 4 Abs. 1 CoronaVO etwaige Infektionsketten nachzuvollziehen. Daher sind die zu erhebenden Daten für die Dauer von drei Wochen nach dem Ende des jeweiligen Ereignisses aufzubewahren.

Spätestens einen Monat nach dem Ende des jeweiligen Ereignisses müssen die Kontaktdaten gelöscht werden.

Das muss datenschutzkonform geschehen, z. B. durch Schreddern der Listen mit einem Aktenvernichter bei Papierunterlagen bzw. durch sicheres Löschen bei digitalen Formaten. Unzureichend wäre es, Papierunterlagen in Gänze oder nur zerrissen in den Hausmüll bzw. die Altpapiertonne zu geben bzw. Dateien lediglich in den digitalen Papierkorb zu verschieben und diesen zu entleeren. Für ein datenschutzkonformes Löschen ist der Einsatz zusätzlicher Löschtools erforderlich, die ein unwiederbringliches Löschen von Dateien gewährleisten.[1]