29.10.2020 - Für die Erfassung von Kontaktdaten für das Contact Tracing besteht eine gesetzliche Grundlage. Die Covid-19-Verordnung besondere Lage sieht vor, welche Daten zu welchem Zweck gesammelt werden dürfen. Wie die Erfassung erfolgt, steht den verantwortlichen Betreibern und Organisatoren indes frei. Der Einsatz von Apps ist zulässig, sofern dabei der datenschutzrechtliche Rahmen eingehalten wird.
29.10.2020 - Gästelisten: Betreiber müssen bei der Erfassung der Kontaktdaten Datenschutz sicherstellen
Gästelisten: Betreiber müssen bei der Erfassung der Kontaktdaten Datenschutz sicherstellen
Angesichts der schnell ansteigenden Fallzahlen werden die Massnahmen zur Pandemiebekämpfung derzeit verstärkt, namentlich das «klassische» Contact Tracing, das die Unterbrechung der Infektionsketten bezweckt.
Die gesetzliche Grundlage für das Contact Tracing findet sich im Epidemiengesetz. Daneben enthält die Covid-19-Verordnung besondere Lage Ausführungsbestimmungen in Bezug auf Massnahmen betreffend öffentlich zugängliche Einrichtungen und Betriebe sowie Veranstaltungen.
Gestützt auf diese Grundlagen sind Betreiber von öffentlich zugänglichen Einrichtungen und Betrieben sowie Veranstalter unter gewissen Voraussetzungen verpflichtet, Kontaktdaten der Besucherinnen und Besucher zu erheben. Der Umfang der zu erfassenden Daten ist dabei definiert, die Daten dürfen nur zum Zweck des Contact Tracing erfasst werden und sind nach 14 Tagen zu löschen. Die Kantone können punktuell weitergehende Massnahmen und damit auch umfangreichere Datenerfassungen vorsehen, solange die datenschutzrechtlichen Anforderungen eingehalten werden.
Auf welche Weise die Datenerhebung umgesetzt wird, lässt die Verordnung ausdrücklich offen, der Betreiber oder Organisator ist jedoch jederzeit für die Vertraulichkeit bei der Erhebung und die Datensicherheit verantwortlich.
Vor diesem Hintergrund ist auch eine Erhebung über eine App zulässig. Insbesondere in der Gastronomie oder bei Veranstaltungen kommt heute eine Vielfalt von digitalen Produkten zum Einsatz. Wie bei anderen Erfassungsmethoden ist dabei dem Datenschutz Rechnung zu tragen. Die Betreiber und Organisatoren bleiben auch mit dem Einsatz einer App für die Einhaltung der Vertraulichkeit und der Datensicherheit verantwortlich. Sie haben insbesondere sicherzustellen, dass nur jene Daten bearbeitet werden, welche von der Verordnung (und allenfalls ergänzenden kantonalen Erlassen) vorgesehen sind und dass die Daten – wie erwähnt – nach 14 Tagen gelöscht werden.
Die Erfassung weiterer Daten oder die Verwendung der erfassten Daten zu anderen Zwecken als dem Contact Tracing, wie zum Zustellen von Online-Werbung, ist nur mit dem Einverständnis der Betroffenen möglich. In diesem Fall muss jedoch sichergestellt werden, dass die Betroffenen über diese weitergehende Bearbeitung ausdrücklich informiert werden und dieser jederzeit widersprechen können, ohne dass sie dadurch benachteiligt werden. Da solche Apps beim Besuch von Einrichtungen, Betrieben und Veranstaltungen oft spontan vor Ort installiert werden, sollte eine allfällige Verwendung der erfassten Daten zu anderen Zwecken im Sinne eines Opt-In mit ausdrücklicher Zustimmung ausgestaltet werden.
Aus den datenschutzrechtlichen Grundsätzen ergibt sich überdies, dass für Personen, welche kein Smartphone mit sich führen, eine alternative Erfassungsmöglichkeit vorzusehen ist, wie insbesondere das Ausfüllen von Papierformularen. Diese Rechtsauffassung des EDÖB steht unter dem Vorbehalt einer Beurteilung durch die zuständigen Gerichte.
Letzte Änderung 21.11.2023