Datenschutz beim Date: Gästedokumentation in Bars in Corona-Zeiten

Wie alle anderen Gastronomen müssen auch Barbetreiber dokumentieren, wer sich wann bei ihnen aufgehalten hat. Das birgt Risiken beim Datenschutz – und der ist ernst zu nehmen. Wir haben einen Überblick zusammengestellt, auf welche Knackpunkte es bei Gästedokumentation in Bars zu achten gilt.

In der Militärsprache gibt es den Begriff vom Zwei-Fronten-Krieg. Nun sind Kriegsmetaphern im Journalismus zumindest außerhalb der britischen Sport-Presse meist eher unangemessen. Aber manchmal drängen sie sich auf, so wie aktuell bei der Dokumentationspflicht für Gastronomen im Zuge des „Reboot“ nach dem Corona-Lockdown: Wirte dürfen zwar ihre Türen wieder aufsperren, müssen aber – neben all den anderen Beschränkungen, die es zu beachten gilt – gleichzeitig lückenlos nachweisen können, wer sich in ihrem Gastraum aufgehalten hat. Im Fall neu infizierter Personen soll diese Dokumentation dabei helfen, Infektionsketten von Covid-19 besser nachverfolgen zu können und Gäste, die zum selben Zeitpunkt vor Ort waren, gezielt in Quarantäne schicken zu können.

Und diese Anforderung wird (all die anderen Schlachten, die Barbetreiber derzeit schlagen müssen, einmal außer Acht gelassen) sehr schnell zum Zwei-Fronten-Krieg.

Dokumentation von Gästedaten: Ist der Wirt nachlässig, kann er belangt werden. Doppelt.

Denn es gilt: Kommen Wirte dieser Verpflichtung zur Dokumentation nicht den Vorschriften entsprechend nach, sind ihre Säumnisse sanktionierbar, zum Beispiel durch schmerzhafte Bußgelder. Traurigerweise hört man bereits jetzt auch immer wieder von Gaststätten, die dieser Pflicht nicht umfänglich oder gar nicht nachkommen. Das ist nicht nur für den jeweiligen Betrieb ungünstig, weil er sich angreifbar macht; es schadet auch den Läden, die sich den Vorschriften beugen, weil Gäste ihnen dann vorhalten: „Im anderen Restaurant gestern Abend mussten wir aber nichts ausfüllen!“

Doch damit aber nicht genug, womit die zweite Front entsteht – im Datenschutz. Denn dem Wirt als Gewerbetreiber obliegt die Pflicht, die zu erhebenden Daten gemäß den Vorschriften zu verarbeiten, primär also entsprechend der Datenschutz-Grundverordnung (DSGVO). Begeht der Wirt hier Unsauberkeiten oder gar handfeste Irrtümer, können ebenfalls Sanktionen folgen.

Mit dem Datenschutz ist nicht zu spaßen

Das klingt zunächst einmal simpel, und in einer einfacheren Realität wäre es das auch: Kladde auf den Tresen, Kugelschreiber daneben, und alle Gäste können selbstständig „einchecken“. Doch in einer Zeit, in der praktisch jedes Grundschulkind schon in Anklängen mit Richtlinien des Datenschutzes vertraut ist, lauern an dieser Stelle einige Stolpersteine. Wir haben die wichtigsten davon zusammengefasst:

– Die Grundlagen aller Datenerhebung und -verarbeitung regelt vor allem Artikel 5 am Anfang des II. Kapitels der DSGVO. Unter Ziffer 1b ist dort z.B. explizit die Rede vom „eindeutigen Zweck“ einer Datenerhebung. Dies besagt etwa, dass der Wirt die Informationen, die er aufgrund der gegebenen Vorschriften erhebt, keinesfalls zu einem anderen Zwecke verwenden darf. Die Übertragung gesammelter Email-Adressen in den eigenen Newsletter-Verteiler wäre dort ein klassisches Beispiel für einen Verstoß.

– Artikel 5, Ziffer 1c, weist zudem auf das Prinzip der sogenannten „Datenminimierung“ hin: Es besagt, dass der Erheber von Daten (also der Wirt) diese stets nur im möglichst geringen Umfang zu Erfüllung des Zwecks sammeln soll. Entsprechend sichert sich der Wirt hier beispielsweise ab, indem er von seinen Gästen nur eine Kontaktmöglichkeit (also z.B. Postanschrift oder Telefonnummer) dokumentiert.

– Von zentraler Bedeutung ist es zudem, dass der Wirt den Artikel 13/DSGVO beachtet und umsetzt. Dieser Abschnitt setzt sich mit den sogenannten Rechten des Betroffenen (also in diesem Fall der Gast) auseinander und nimmt den Erheber der Daten (also den Wirt) in die Auskunftspflicht etwa darüber, zu welchem Zweck die Daten erhoben werden. Missachtungen bzgl. Art. 13 sind der häufigste Ansatzpunkt für Beschwerden von Betroffenen sowie Kritik durch Aufsichtsbehörden.

– Der Wirt muss gewährleisten, dass kein Gast Einsicht in die Daten anderer Gäste nehmen kann. Die simple, offen ausliegende Liste zum Self-Check-in scheidet also spätestens an dieser Stelle aus.

Die Landesbeauftrage für den Datenschutz in Schleswig-Holstein weist zudem etwa darauf hin, dass eine solche, tageweise geführte Liste streng genommen ebenfalls nicht aussagen darf, wie die Namen der sich aktuell im Gastraum befindlichen Personen lauten.

Wichtig: Stifte und sonstige Schreibgeräte müssen desinfiziert werden!

– Die schlichte, auf Papier geführte Tagesliste ist grundsätzlich legitim. Sie muss dann allerdings vom Servicepersonal geführt und unter Verschluss gehalten werden, wie z.B. das Bayerische Landesamt zur Datenschutzaufsicht klarstellt.

– Unter andern brachte der nordrhein-westfälische Landesbeauftragte für den Datenschutz außerdem das Modell ins Spiel, dass der Wirt auf jeden freien Tisch ein leeres Formular legt, auf dem sie Gäste sich beim Platznehmen eintragen und beim Verlassen des Lokals die Uhrzeit eintragen können. Hier kann man sich mit einem sogenannten „Briefkastenmodell“ absichern: Die Gäste tragen sich beim Kommen auf dem leeren Formular am Tisch ein, wenn sie das Lokal verlassen, tragen sie die Uhrzeit ein. Das fertige Formular deponieren sie dann beim Verlassen in einem geschlossenen Behältnis.

– Bei allen Modellen, innerhalb derer die Gäste selbst ein Formular ausfüllen, muss vom Servicepersonal penibel auf eine fortwährende, gründliche Desinfektion der Schreibgeräte geachtet werden.

– Das Abfotografieren von Personalausweisen ist nicht nur aus datenschützerischer Sicht hochproblematisch, sondern bei strenger Betrachtung sogar illegal. Von dieser Variante sollte in jedem Fall Abstand genommen werden.