Kontaktlisten größtenteils unbrauchbar?

In Hamburg hat sich ein Abend in einer Bar zu einem Superspreader-Event entwickelt; das zuständige Gesundheitsamt hatte im Nachgang erhebliche Schwierigkeiten, Gäste bzw. Kontaktpersonen ausfindig zu machen, weil die Anwesenheitsliste nicht ordentlich ausgefüllt war. Ein Hamburger Bezirksamtsleiter hatte danach aus 18 Betrieben die Kontaktlisten mitgenommen, 9 seien bereits ausgewertet: Von den 1.439 mit dem Melderegister abgeglichenen Daten seien nur 478 leserlich, vollständig bzw. korrekt gewesen.

Von der Frage einmal abgesehen, ob der Bezirksamtsleiter die Listen “zu Kontrollzwecken” überhaupt hatte mitnehmen dürfen, dürfte unbestritten sein, dass jedenfalls bewusst falsche Angaben nicht förderlich sind: Denn Sinn macht ja eine Nachverfolgung, denn (nur?) so kann man im Voraus Lockerungen zulassen. Momentan sehen die Verordnungen noch keine Kontrollpflicht vor, aber ich fürchte, dass das durchaus blühen könnte, wenn Gesundheitsämter weiterhin derart Schwierigkeiten haben, die Kontakte nachverfolgen zu können.

Bisher tragen wohl immer noch nicht wenige Personen Namen wie “Benjamin Blümchen” oder als Telefonnummer “0123-456789” ein – hier dürfte man sicherlich vom Verantwortlichen erwarten, dass er das bei Erkennen verhindert, bspw. wenn ohnehin das eigene Personal einen handschriftlich ausgefüllten Zettel vom Gast entgegennehmen: Denn dann reicht ein Blick auf den Zettel.

Komplizierter wird es, wenn unauffälliger Daten falsch angegeben werden und die Landesregierungen irgendwann mal einen Abgleich mit dem Personalausweis o.Ä. verlangen.

Meine Empfehlungen bzgl. der Kontaktlisten:

• Orientieren Sie sich möglichst nah an “Ihrer “Verordnung, als der Verordnung des Bundeslandes, in dem Ihre Veranstaltung stattfindet bzw. Ihre Location liegt.
• Vermeiden Sie grundsätzlich, zusätzliche “gutgemeinte” Maßnahmen zu “erfinden” – und wenn, dann müssen diese eng abgestimmt sein mit Ihrem Datenschutzkonzept und der DSGVO. Bedenken Sie, dass die Corona-Verordnung einen konkreten Zweck für die Datenverarbeitung vorgibt, und zwar mit engen Grenzen. Wenn Sie diese Grenzen überschreiten, dann ändern Sie den Zweck, und brauchen ggf. auch eine neue/andere Rechtsgrundlage.
• Das heißt bspw.:
  • Erheben Sie nur diejenigen Daten, die auch laut “Ihrer” Verordnung erhoben werden sollen. Wird bspw. die Erhebung einer Mailadresse nicht verlangt, fragen Sie diese auch nicht ab.
  • Schreibt die Verordnung eine Löschung nach 4 Wochen vor, löschen Sie auch nach 4 Wochen – und nicht nach 3 oder 5 Wochen.
• Involvieren Sie den betrieblichen Datenschutzbeauftragten, soweit vorhanden; binden Sie auch diesen Baustein in das Datenschutzkonzept Ihres Unternehmens ein.
• Informieren bzw. unterweisen Sie Mitarbeiter, die mit den Listen/Daten umgehen müssen, was Sie dürfen/müssen/sollen.