In einer Verordnung der BH Gmunden wird die Erhebung von Kontaktdaten vorgeschrieben.
Was ist aus datenschutzrechtlicher Sicht zu beachten?
Wer muss die Kontaktdaten erheben?
Das ist mE in der Verordnung nicht klar geregelt, da diese davon spricht, dass
"alle Gäste, die in Beherbergungsbetrieben in der Gemeinde St. Wolfgang im Salzkammergut genächtigt haben ... eine Meldung aerstatten müssen",
dh an sich trifft die Verpflichtung zur Meldung die Gäste selbst, und nicht die Betreiber der Beherbergungsbetriebe.
Seit wann gilt die Verordnung und wie lange?
Die Verordnung ist mit 27.07.2020 in Kraft getreten und tritt mit 2.8.2020 wieder außer Kraft.
Das bedeutet, dass Gäste, die erst nach dem 3.8.2020 abreisen, diese Verpflichtung zur Erstattung der Meldung nicht trifft.
Wann ist die Meldung zu erstatten?
Die Verordnung spricht davon, dass "beim Verlassen des Gemeindegebietes der Gemeinde St. Wolfgang im Salzkammergut" die Meldung zu erstatten ist, dh nicht beim "endgültigen Verlassen", sondern an sich bei "jedem Verlassen", auch bei einer Wanderung oder beim Besuch des Sees in einer Nachbargemeinde oder ähnlichen Aktivitäten wie Ausflügen, die über die Gemeindegrenzen hinausgehen.
Wem gegenüber ist die Meldung zu machen?
Das ist in der Verordnung nicht geregelt. Da es sich um eine Verordnung der Bezirkshauptmannschaft Gmunden handelt, ist wohl davon auszugehen, dass die Meldung an die BH Gmunden zu erstatten ist.
Welche Daten hat die Meldung zu enthalten?
Die Verordnung verweist dazu auf einen Anhang bzw. ein Beiblatt und legt fest, dass zumindest die folgenden Daten in der Meldung enthalten sein müssen, die sich aus dem Anhang ergeben:
Keine Datenschutzinformation iSd Art 13 DSGVO erforderlich?
Die BH Gmunden, die diese Daten erhebt bzw. die Gäste verpflichtet, die Daten in einer Meldung bekannt zu geben, hat - soweit ersichtlich - keinerlei Hinweise auf die Datenerhebung oder Datenschutzinformation iSd Art 13 DSGVO zur Verfügung gestellt.
Die betroffenen Personen werden daher nicht informiert, zu welchem konkreten Zweck die Daten erhoben werden, wie lange die Daten aufbewahrt werden und auch über die anderen notwendigen Informationen iSd Art 13 DSGVO verfügen die betroffenen Personen im Rahmen der Datenerhebung nicht.
Es ist kein Grund ersichtlich, weshalb die BH Gmunden von der Verpflichtung eine Datenschutzinformation iSd Art 13 DSGVO zur Verfügung zu stellen, befreit sein sollte.
Welche Rolle spielen die Beherbergungsbetriebe?
Wenn die Datenerhebung von den Beherbergungsbetrieben durchgeführt wird bzw. die Daten von diesen gesammelt werden und an die BH Gmunden weitergegeben werden, dann stellt sich die Frage, in welcher Rolle die Beherbergungsbetriebe auftreten.
Sind diese Auftragsverarbeiter für die BH Gmunden oder handeln sie als eigene Verantwortliche? Auch das wird in der Verordnung nicht geklärt.
Wenn die Beherbergungsbetriebe als eigene Verantwortliche die Daten erheben, und auch für eigene Zwecke nutzen wollen, nämlich zur Kontaktverfolgung im Anlassfall, dann kann diese Datenerhebung mE nicht auf die Verordnung selbst (gesetzliche / normative Grundlage für die Datenverarbeitung iSd Art 6 Abs 1 lit c DSGVO) gestützt werden, und die Betriebe sind auch nicht berechtigt, alle Daten, die auf dem Meldungsblatt abgefragt werden, zu erheben, da diese Daten nicht notwendig sind, um die betroffenen Personen im Anlassfall kontaktieren zu können.
Das Prinzip der Datenminimierung ist jedenfalls zu beachten. Für diesen Zweck reichen Namen und Adresse sowie uU eine Telefonnummer.
Auch die Beherbergungsbetriebe als Verantwortliche sind verpflichtet, den Gästen, deren Daten sie erheben, eine Datenschutzinformation iSd Art 13 DSGVO zur Verfügung zu stellen.
Werden die Betriebe nur als "verlängerter Arm" der BH Gmunden als Behörde tätig, dh als Auftragsverarbeiter, und verwenden diese die erhobenen Daten nicht für eigene Zwecke, dann bedarf dies einerseits eines Vertrages (oder anderen Rechtsinstruments wobei die Verordnung selbst dazu keine Anhaltspunkte bietet) iSd Art 28 Abs 3 DSGVO und andererseits sollten die Betrieb eine Datenschutzinformation von der BH Gmunden anfordern, die sie den Gästen zur Verfügung stellen können. Die Verpflichtung zur Information trifft zwar den datenschutzrechtlich Verantwortlichen, aber es wäre mE zweckmäßig, wenn die Gäste über diese Information iSd Art 13 DSGVO verfügen würden, wenn sie die Daten mitteilen.
28.07.2020, Autor:
Michael Schweiger, zert DSBA
Kommentar schreiben