Seit 28.9.2020 gibt es Wien nun die „Gästeregistrierung“.

In Niederösterreich wird überlegt, das ab 1.10.2020 einzuführen.

 

 

Die „Rechtsgrundlage“

Die Stadt Wien hat dazu eine Verordnung erlassen, die am 28.9.2020 in Kraft trat und am 31.12.2020 außer Kraft tritt (siehe § 3), sofern diese nicht verlängert wird

 

 

Wer ist zur „Weitergabe der Daten an die Gesundheitsbehörde“ verpflichtet, und muss daher über die Daten verfügen?

1.    Krankenanstalten gemäß § 1 Abs. 3 Z 3 Wiener Krankenanstaltengesetz 1987 (Wr. KAG), LGBl. für Wien Nr. 23/1987 in der Fassung LGBl. für Wien Nr. 19/2020,          
Wohnheime, Pflegeheime und Pflegestationen gemäß § 2 Abs. 1 Wiener Wohn- und Pflegeheimgesetz (WWPG), LGBl. für Wien Nr. 15/2005 in der Fassung LGBl. für Wien Nr. 30/2020,
Einrichtungen, die Leistungen im Bereich der Behindertenhilfe nach dem Chancengleichheitsgesetz Wien (CGW), LGBl. für Wien Nr. 45/2010 in der Fassung LGBl. für Wien Nr. 49/2018, erbringen,
Einrichtungen der Wohnungslosenhilfe sowie
Unterkünfte, in denen Grundversorgung in Wien gemäß dem Wiener Grundversorgungsgesetz (WGVG), LGBl. für Wien Nr. 46/2004 in der Fassung LGBl. für Wien Nr. 49/2018, an hilfs- und schutzbedürftige Fremde gewährt wird.

2.   Betriebsstätten

 

Aus der Regelung des § 1 Z 2 der VO und der Bezeichnung „Betriebsstätten“ wird jedenfalls geschlossen, dass Gaststätten und sonstige Restaurantbetriebe, die Daten an die Gesundheitsbehörde übermitteln muss, wenn diese anfragt, weil nur für diese Daten von Gästen in die Weitergabepflicht fallen (sollen).

 

Der Terminus „Betriebsstätte“ bezeichnet mE aber nicht nur Orte, an denen Speisen und Getränke im Sitzen verabreicht werden, sondern wird die „Betriebsstätte“ (in steuerlicher Hinsicht) zB in § 29 BAO definiert, und umfasst wesentlich mehr als „Gastronomiebetriebe“, und zwar in der generellen Definition:

 

„Betriebsstätte im Sinn der Abgabenvorschriften ist jede feste örtliche Anlage oder Einrichtung, die der Ausübung eines Betriebes oder wirtschaftlichen Geschäftsbetriebes (§ 31) dient.“

 

In § 29 Abs 2 BAO werden Beispiele für „Örtlichkeiten“ genannt, die eine Betriebsstätte darstellen:

-        die Stätte, an der sich die Geschäftsleitung befindet     

-        Zweigniederlassungen, Fabrikationsstätten, Warenlager, Ein- und Verkaufsstellen, Landungsbrücken (Anlegestellen von Schiffahrtsgesellschaften), Geschäftsstellen und sonstige Geschäftseinrichtungen, die dem Unternehmer oder seinem ständigen Vertreter zur Ausübung des Betriebes dienen      

-        Bauausführungen, deren Dauer sechs Monate überstiegen hat oder voraussichtlich übersteigen wird

 

Die „Betriebsstätte“ kommt (am 30.09.2020) in aktuellen gesetzlichen Bestimmungen des Bundesrechts insgesamt mehr als 350 mal vor, wobei dies nicht heißt, dass sich in jeder dieser Bestimmungen auch eine Definition findet.

 

Festzuhalten ist in diesem Zusammenhang jedoch, dass die „Betriebsstätte“ nicht nur „Gastronomiebetriebe“ umfasst, sondern sicherlich auf andere Betriebe und Branchen ausstrahlt. In der Gastronomie ist es offensichtlich dem Gesetzgeber besonders wichtig, einerseits die Vorverlegung einer Sperrstunde verhindert werden soll, und in Gastronomiebetrieben die Ansteckungsgefahr höher ist, als in Büros, Lagerräumlichkeiten oder Geschäften, in denen man sich vermutlich kürzer als 15 Minuten aufhält, und auch größeren Abstand halten kann.

 

Die „Betriebsstätte in der Gastronomie“ findet sich „nur“ bei den Daten, die weitergeben werden müssen, nicht aber in der Verpflichtung per se. Ob daraus geschlossen werden kann, dass nur diese Branche, die Daten der Kunden und Kundinnen weitergeben und damit auch erheben muss, kann mE vorab noch nicht beurteilt werden. Jedenfalls hätte mE der Verordnungsgeber hier eine klarere Festlegung vornehmen können.

 

Welche Daten sind zu erheben?

Bei Betriebsstätten schreibt die VO vor, dass folgende Daten an die Gesundheitsbehörde bekannt zu geben sind:

Betriebsstätten:
Bezeichnung | Adresse

 

Zentrale Ansprechperson der Betriebsstätte:
Vorname | Name | Telefonnummer | E-Mail-Adresse |

 

Medizinische Ansprechperson der Betriebsstätte, sofern vorhanden:  
Vorname | Name | Telefonnummer | E-Mail-Adresse  

 

Personal:
Vorname | Name | Telefonnummer | E-Mail-Adresse

Diese Daten werden beim Verantwortlichen, der die Daten erhebt und an die Gesundheitsbehörde weitergibt (übermittelt), vorhanden sein.

Besonderheit für „Betriebsstätten der Gastronomie“

Die „individuelle Erhebung“ der personenbezogenen Daten bei den Kunden und Kundinnen – bei Betriebsstätten der Gastronomie umfasst folgende Daten:

Vorname | Name | Telefonnummer | E-Mail-Adresse | Tischnummer

 

Bemerkenswert ist, dass es keine Differenzierung bei Telefonnummer und E-Mail-Adresse gibt, und im Rahmen der Interpretation beurteilt werden muss, ob sowohl Telefonnummer als auch E-Mail-Adresse erhoben werden müssen, oder es ausreicht, ein konkretes Kontaktdatum für die Kontaktaufnahme im Rahmen des Contact-Tracing zu erheben und auch an die Gesundheitsbehörde weiterzugeben.

Die DSGVO gilt auch neben dieser Verordnung, und ist zu beachten. Aus Gründen der „Datensparsamkeit“ iSd Art 5 Abs 1 lit c DSGVO sollten nur diejenigen Daten erhoben werden, die zur Erfüllung des Zwecks, dh der Verständigung bzw. Kontaktaufnahme durch die Gesundheitsbehörde beim Contact-Tracing, erforderlich sind.

 

 

Zweckfestlegung

Die VO selbst beschreibt den Zweck: der Nachverfolgung der Kontakte bei Auftreten eines Verdachtsfalles von COVID-19.

 

Die Daten dürfen nicht für andere Zwecke verwendet (mißbraucht) werden, dh nicht für die Zusendung von Werbematerial per Post oder Newslettern per Email von den Verantwortlichen benutzt werden, wenn dazu keine andere Rechtsgrundlage im Rahmen der Datenerhebung geschaffen (Einwilligung) oder verwendet wird (Bestandskundenwerbung per Post iSd § 107 Abs 3 TKG).

 

Wann sind die Daten zu löschen?

Das Gesetz geht von einer maximalen Speicherdauer von 4 Wochen aus. Danach sind die Daten zu löschen.

 

Die Rechtsgrundlage.

Für die Verarbeitung (Erhebung der Daten, Speicherung für die Dauer von 4 Wochen nach Erhebung sowie Weitergabe an die Gesundheitsbehörde) steht mE das Gesetz, dh Art 6 Abs 1 lit c DGSGVO (rechtliche Verpflichtung, der der Verantwortliche unterliegt) zur Verfügung.

 

Eine „Einwilligung“ iSd Art 6 Abs 1 lit a DSGVO ist keine taugliche Grundlage, denn ansonsten wäre die Rechtsgrundlage durch einen Widerruf durch die betroffenen Personen beseitigbar.

 

Aus dem von der Wirtschaftskammer aufgelegten Formblatt ergibt sich als Rechtsgrundlage neben Art 6 Abs 1 lit c DSGVO (rechtliche Verpflichtung) auch Art 6 Abs 1 lit d DSGVO (lebenswichtige Interessen), und es stehen bei der Wirtschaftskammer auch weitere Informationen zum Thema zur Verfügung.

 

Die Stadt Wien selbst hat auch ein Formblatt dazu aufgelegt, das jedoch auf „lebenswichtige Interessen der betroffenen Person“ (Art 6 Abs 1 lit d DSGVO) und in einem anderen Bereich auf „Einwilligung“ verweist. Die Bekanntgabe des „konkreten Empfängers“, nämlich der MA 5 auf diesem Formblatt ist – genauso wie die vollständige Information iSd Art 13 DSGVO – als positiv hervorzuheben.

 

Da keine Gesundheitsdaten der betroffenen Personen, sondern „nur“ Anwesenheitsdaten für eine bestimmten Zeitpunkt / Zeitraum erhoben werden, ist mE Art 9 DSGVO nicht anzuwenden.

 

Art der Erhebung der Kontaktdaten – keine offenen Listen außer am Tisch.

Ob die Daten mittels auf den Tischen (Lokal) aufliegenden Formularen erhoben werden, oder die Daten elektronisch erfasst werden, wird vom Gesetz nicht spezifiziert, sondern ist dem jeweiligen Verantwortlichen selbst überlassen.

 

Zu beachten ist, dass die Gästelisten nicht offen aufgelegt werden dürfen, und anderen Gäste oder Besuchern, die zB nicht am gleichen Tisch (Restaurant) sitzen, oder die Veranstaltung nicht gemeinsam besuchen, die Kontaktdaten der anderen betroffenen Personen nicht offengelegt werden.

 

 

Der Hamburger Beauftragte für den Datenschutz und die Informationsfreiheit hat bereits Verfahren gegen Restaurants wegen Verletzung der Vertraulichkeit bei Gästelisten eingeleitet.

 

 

30.09.2020, Autor:

Michael Schweiger, zert DSBA