Ostermontag, und die Hoffnung auf Öffnungsschritte ist groß. Wann immer Restaurants, Läden oder Veranstaltungen wieder öffnen dürfen, wird eine Frage wichtig: Wie erfassen wir Kontaktdaten unserer Gäste? Die Luca-App wird derzeit in vielen Bundesländern als Lösung beworben, mehrere Länder haben Lizenzen erworben. Gleichzeitig hagelt es Kritik von Sicherheitsforschern und Datenschützern. Wir ordnen ein, was die Luca-App beim Datenschutz bedeutet, welche Pflichten Sie als Betreiber haben und welche Alternativen es gibt.
Warum Kontaktnachverfolgung überhaupt ein Datenschutzthema ist
Die Corona-Verordnungen der Länder verpflichten viele Betriebe, Kontaktdaten ihrer Gäste zu erfassen, damit Gesundheitsämter im Infektionsfall Kontaktpersonen erreichen können. Im vergangenen Jahr lief das meist über Papierlisten. Das Ergebnis kennen wir alle: offen ausliegende Listen, auf denen jeder Name, Telefonnummer und Uhrzeit der anderen Gäste lesen konnte, und Fantasienamen wie „Micky Maus“. Beides ist schlecht, das eine für den Datenschutz, das andere für die Nachverfolgung.
Digitale Lösungen versprechen, beide Probleme zu lösen. Aber auch sie verarbeiten personenbezogene Daten, und zwar in großer Menge und an zentraler Stelle.
Wie die Luca-App funktioniert
Gäste hinterlegen ihre Kontaktdaten in der App und checken per QR-Code bei einem Betrieb ein. Nach Angaben des Anbieters werden die Daten verschlüsselt auf einem zentralen Server gespeichert. Im Infektionsfall kann das Gesundheitsamt die Daten nur mit Mitwirkung des Betreibers entschlüsseln. Für Menschen ohne Smartphone gibt es Schlüsselanhänger mit QR-Code oder eine Web-Variante. Die Gesundheitsämter sollen die Daten direkt digital erhalten, statt Listen abtippen zu müssen.
Luca-App und Datenschutz: Die Kritikpunkte
- Zentrale Speicherung: Anders als bei der Corona-Warn-App liegen die Daten zentral. Kritiker sehen darin ein attraktives Angriffsziel und befürchten Begehrlichkeiten, die Daten für andere Zwecke zu nutzen.
- Transparenz: Der Quellcode wurde erst nach öffentlichem Druck veröffentlicht, und die Veröffentlichung selbst hat neue Diskussionen ausgelöst.
- Sicherheitsfragen: Sicherheitsforscher haben verschiedene Schwachstellen und Missbrauchsmöglichkeiten öffentlich gemacht. Der Anbieter hat nach eigenen Angaben nachgebessert.
- Vergabe: Dass mehrere Länder die App ohne breite Ausschreibung eingekauft haben, wird ebenfalls kritisiert, ist aber eher eine politische als eine datenschutzrechtliche Frage.
Unsere Einschätzung: Die Kritik ist ernst zu nehmen, und der Anbieter ist in der Pflicht, nachzuweisen, dass seine Lösung sicher ist. Gleichzeitig sind ungeschützte Papierlisten ganz sicher keine datenschutzfreundliche Alternative.
Ihre Pflichten als Betreiber, egal mit welchem System
| Pflicht | Was das konkret heißt |
|---|---|
| Nur erforderliche Daten erfassen | was die Landesverordnung vorschreibt, meist Name, Kontaktdaten, Zeitraum des Aufenthalts |
| Informationspflicht nach Art. 13 DSGVO | Aushang oder Hinweis: wer verantwortlich ist, wofür die Daten erfasst werden, wie lange sie gespeichert werden |
| Zweckbindung | Daten nur für die Kontaktnachverfolgung, nicht für Werbung, Newsletter oder Geburtstagsgrüße |
| Vertraulichkeit | keine offenen Listen, keine Einsicht durch andere Gäste |
| Löschung | nach Ablauf der in der Landesverordnung genannten Frist, häufig etwa ein Monat |
| Herausgabe | nur an das zuständige Gesundheitsamt auf Anforderung |
Wichtig: Auch wenn eine App die Technik übernimmt, bleiben Sie für die Datenerhebung in Ihrem Betrieb mitverantwortlich. Lesen Sie die Unterlagen des Anbieters und klären Sie, ob ein Vertrag zur Auftragsverarbeitung oder eine andere Vereinbarung nötig ist.
Welche Alternativen gibt es?
Papier, aber richtig
Einzelne Erfassungsbögen pro Gast oder Tisch, die sofort in eine verschlossene Box wandern. Nach Ablauf der Frist datenschutzgerecht vernichten. Aufwendig, aber bewährt.
Andere Apps und Web-Lösungen
Neben Luca gibt es weitere Anbieter, teils mit dezentralem Ansatz. Achten Sie darauf, ob Ihr Gesundheitsamt die Daten des jeweiligen Systems verarbeiten kann, sonst nützt die schönste App nichts.
Corona-Warn-App
Für die offizielle Corona-Warn-App ist eine Check-in-Funktion für Veranstaltungen und Orte angekündigt. Sie arbeitet anonym und dezentral, warnt also Kontaktpersonen, ersetzt aber nicht die namentliche Erfassung, wenn die Landesverordnung diese verlangt.
Unsere Empfehlung für Betriebe
- Prüfen Sie, was Ihre Landesverordnung konkret verlangt und welche Systeme Ihr Gesundheitsamt anbindet.
- Bieten Sie immer eine Alternative für Gäste an, die keine App nutzen wollen oder können.
- Erstellen Sie einen kurzen Datenschutzhinweis zum Aushängen.
- Schulen Sie Ihr Personal: Was tun, wenn ein Gast nicht einchecken will? Wer darf auf die Daten zugreifen?
- Dokumentieren Sie Ihre Entscheidung im Verarbeitungsverzeichnis.
Häufige Fragen von Betreibern
Darf ich Gäste abweisen, die keine Daten angeben?
Wenn die Landesverordnung die Erfassung vorschreibt, dürfen Sie Gäste ohne Kontaktangaben in der Regel nicht bewirten. Prüfen Sie die genaue Formulierung in Ihrer Verordnung und schulen Sie Ihr Personal für diesen Fall.
Darf ich die Daten für meinen Newsletter nutzen?
Nein. Die Daten werden ausschließlich zur Kontaktnachverfolgung erhoben. Wer sie für Werbung nutzt, verstößt gegen die Zweckbindung und riskiert ein Bußgeld. Wenn Sie Gäste für Ihren Newsletter gewinnen möchten, fragen Sie separat und freiwillig.
Was ist, wenn die Polizei die Daten haben will?
Im vergangenen Jahr gab es Berichte über Zugriffe von Ermittlungsbehörden auf Gästelisten, was große Verunsicherung ausgelöst hat. Ob und wann solche Zugriffe zulässig sind, ist rechtlich umstritten. Geben Sie Daten nur auf Grundlage einer klaren Rechtsgrundlage heraus und holen Sie sich im Zweifel Rat.
Ein Wort zu den Gästen
Nicht wenige Gäste sind verunsichert und fragen am Eingang, was mit ihren Daten passiert. Eine freundliche, ehrliche Antwort hilft mehr als ein Achselzucken: „Wir müssen die Daten laut Verordnung erfassen, sie gehen nur im Infektionsfall an das Gesundheitsamt und werden nach einem Monat gelöscht.“ Wer das sicher erklären kann, schafft Vertrauen, und das ist in der Gastronomie ohnehin die halbe Miete.
Wir helfen Ihnen gerne
Sie möchten Ihre Kontaktnachverfolgung datenschutzkonform aufsetzen, egal ob mit Luca-App, anderer Lösung oder Papier? Das Datenschutz-Team der Mittelstandsoptimierer erstellt Ihnen Datenschutzhinweise, prüft die Verträge und dokumentiert alles sauber. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
