Die mit 28. September 2020 vom Magistrat der Stadt Wien eingeführte Registrierung der Gäste ist in der Gastronomie ein Verstoß gegen die Datenschutzbestimmungen. Die Landeshauptstadt wollte mit dieser Verordnung die geltende Sperrstunde von 22 Uhr für die Wiener Gastronomiebetriebe ausweiten. Die Datenschutzbehörde gibt einem Beschwerdeführer recht, der sich betreffend personenbezogener Daten an diese gewendet hat. Die Entscheidung verweist auf die Wiener Contact-Tracing-VO sowie auch auf § 5 EpidemieG. Der Bescheid ist allerdings noch nicht rechtskräftig.
Aufgrund der Entscheidung ergibt sich, dass bei der Verarbeitung nicht auf Art 6 Abs 1 DSGVO zurückgegriffen werden kann, sondern die strengeren Voraussetzungen des Art 9 Abs 2 DSGVO anzuwenden sind, wodurch auch das „berechtigte Interesse“ lt. Art 6 Abs 1 DSGVO wegfällt.
Doch wie kommt es dazu?
Die Registrierungspflicht wurde per Verordnung in Abstimmung mit der WK Wien eingeführt, um das Aufspüren von Kontaktpersonen in der Gastronomie zu erleichtern. Man wollte damit den Wiener Lokalen damit ermöglichen, länger am Abend offen zu halten (länger als 22 Uhr). Erfasst wurden Daten wie Name, Telefonnummer, E-Mail-Adresse, Tischnummer, welche auf Verlangen der Behörde übermittelt werden müssen.
Der Gast hat sich im Lokal registriert, aber anschließend Beschwerde eingelegt. Die Behörde hält fest, das obwohl nur Informationen wie Name, Telefonnummer und E-Mailadresse angeführt worden sind, es sich hierbei im Kontext des Contact-Tracings um gesundheitsbezogene Daten handelt. Diese Informationen sind deshalb als besonders sensible Daten zu werten. Eine Verarbeitung von gesundheitsbezogenen Daten ist grundsätzlich möglich, wenn der Gast einwilligt. Eine Bestätigung stellt jedoch lt. DSB keine Einwilligung dar, da sie nicht freiwillig erfolgt ist. Wenn der Gast seine Daten nicht bekannt geben will, kann dieser vor die Türe gesetzt werden. Dem Gast wird auch keine Alternative geboten, da ihm in den anderen Lokalen das selbe Schicksal erwartet.
Der Wirt kann sich jetzt darauf berufen, das er per Verordnung dazu gezwungen ist, die Daten der Gäste zu erheben. Das Problem ist aber, das die Verordnung nur regelt, das der Wirt der Gesundheitsbehörde Auskünfte über seine Gäste erteilen muss. Das er die Daten der Gäste auch erheben darf ist nicht geregelt.
Der Gesetzgeber hat ca. 2 Wochen (bis zum geplanten Ende des Lockdown) Zeit, die Verordnung neu zu formulieren und den Notwendigkeiten, die sich aus der datenschutzrechtlichen Rechtsprechung ergeben, anzupassen.
Es bleibt zu hoffen, das dieses Vorhaben gelingt. Ein Verweigerung dieser Auskunftsplicht (z.B. Aufgrund von nicht vorhanden Daten) gegenüber der Gesundheitsbehörde hätte dem Wirten 1.450,00 Euro an Strafe gekostet.