Nach Maßgabe des § 3 VO-CP sind durch die in Absatz 1 genannten Stellen Name, Vorname, Wohnort und Erreichbarkeit in Form einer Telefonnummer oder der E-Mail-Adresse je eines Vertreters der anwesenden Haushalte sowie deren Ankunftszeit zu erheben und für die Dauer eines Monats zu speichern. Aus datenschutzrechtlicher Sicht ist aufgrund dieser gesetzlich normierten Pflicht die mit dieser Regelung verbundene Verarbeitung von Kundenkontaktdaten nach Art. 6 Abs. 1 lit. c in Verbindung mit Abs. 2 und 3 DSGVO legitimiert. In welcher Form diese Pflicht zur Datenverarbeitung umgesetzt wird, bleibt letztlich dem jeweiligen Verantwortlichen überlassen.

Im Hinblick auf den Zweck der Verarbeitungspflicht, den Gesundheitsämtern die Nachverfolgbarkeit von Infektionsketten zu ermöglichen, sind die erhobenen und gespeicherten Kontaktdaten für den Fall, dass das zuständige Gesundheitsamt diese anfordert, zu übermitteln. Die Anforderung des Gesundheitsamts selbst ist zu dokumentieren. Die Daten sollten dabei nur auf einem sicheren Übertragungsweg (per Post, per Fax oder per E-Mail mit Ende-zu-Ende-Verschlüsselung) zur Verfügung gestellt werden. Soweit eine Speicherung der so erhobenen Kontaktdaten für einen Monat erfolgen muss, ist darauf zu achten, dass die gespeicherten Daten fristgerecht vernichtet bzw. gelöscht werden; beispielsweise durch Schreddern von papiergeführten Listen und Erfassungsbögen oder durch Löschen bei digitaler Speicherung.

Absolut unzulässig ist eine zweckwidrige Weiterverarbeitung der Kontaktdaten, wie beispielsweise eine Verwendung oder Weitergabe für Werbezwecke. Die betroffenen Kunden sind durch Informationen im Sinne des Art. 13 DSGVO über Zweck und Ausgestaltung der Datenverarbeitung zu informieren (siehe Muster).