DSGVO und Besuchermanagement: Besucher verantwortungsvoll registrieren

Die Registrierung von Besuchern wirkt zunächst unkompliziert: einen Namen erfassen, den Gastgeber benachrichtigen und die Ankunft dokumentieren. Sobald eine Organisation jedoch Informationen verarbeitet, mit denen eine Person identifiziert werden kann, handelt es sich um personenbezogene Daten. Damit ist die Datenschutz-Grundverordnung (DSGVO) relevant.

Datenschutzfreundliches Besuchermanagement bedeutet nicht, möglichst viele Informationen zu sammeln. Entscheidend sind ein klarer Zweck, eine auf das Notwendige beschränkte Datenerhebung, angemessene Sicherheitsmaßnahmen und die rechtzeitige Löschung der Daten.

Dieser Leitfaden erläutert, wie sich die Grundsätze der DSGVO praktisch auf Ihren Empfangsprozess anwenden lassen – unabhängig davon, ob Sie noch ein Besucherbuch aus Papier oder bereits ein digitales Besuchermanagementsystem verwenden.

Gilt die DSGVO für die Besucherregistrierung?

Ja. Namen, E-Mail-Adressen, Telefonnummern, Unternehmensnamen, Kfz-Kennzeichen, Fotos oder die Identität der besuchten Person können personenbezogene Daten sein. Auch eine Liste mit Ankunfts- und Abreisezeiten kann Rückschlüsse auf die Bewegungen einer Person ermöglichen.

Die DSGVO gilt unter anderem, wenn diese Daten von einer Organisation mit Niederlassung in der Europäischen Union verarbeitet werden oder wenn sich die Verarbeitung auf Personen in der Europäischen Union bezieht.

Nicht alle Daten haben jedoch dieselbe Sensibilität. Gesundheitsdaten, religiöse Überzeugungen oder biometrische Daten können zu den besonderen Kategorien personenbezogener Daten gehören. Ihre Verarbeitung erfordert zusätzliche Voraussetzungen und Schutzmaßnahmen und sollte ohne nachweisbare Notwendigkeit niemals zum Standardverfahren gehören.

Die sieben DSGVO-Grundsätze auf Besucher angewendet

Die DSGVO nennt sieben zentrale Grundsätze für die Verarbeitung personenbezogener Daten. Sie bilden einen hilfreichen Rahmen, um jeden Prozess zur Besucherregistrierung zu überprüfen.

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz

Besucher sollten nicht davon überrascht werden, wie ihre Daten verwendet werden. Die Organisation benötigt eine gültige Rechtsgrundlage und muss verständlich erklären, welche Daten sie erhebt, zu welchem Zweck dies geschieht, wer darauf zugreifen kann und wie lange sie gespeichert werden.

Ein kurzer Datenschutzhinweis, der vor oder während der Registrierung zugänglich ist, unterstützt diese Transparenz. Vermeiden Sie unklare Formulierungen wie „zu administrativen Zwecken“, wenn Sie konkret angeben können, dass die Daten beispielsweise für die Gebäudezugangskontrolle und Notfallevakuierung verwendet werden.

2. Zweckbindung

Erheben Sie Besucherdaten für festgelegte, eindeutige und legitime Zwecke. Daten, die zur Verwaltung des Gebäudezugangs erfasst wurden, dürfen nicht automatisch für Marketingzwecke oder zur Überwachung von Mitarbeitern weiterverwendet werden.

Wenn Sie die Daten für einen anderen Zweck nutzen möchten, prüfen Sie, ob dieser mit dem ursprünglichen Zweck vereinbar ist und ob eine neue Information oder eine andere Rechtsgrundlage erforderlich wird.

3. Datenminimierung

Fordern Sie nur Daten an, die angemessen, relevant und für den jeweiligen Zweck notwendig sind. Wenn die Privatadresse oder das Geburtsdatum eines Besuchers nicht benötigt wird, sollten diese Informationen nicht erhoben werden.

Jedes zusätzliche Formularfeld vergrößert die zu schützende Datenmenge. Überprüfen Sie Ihr Anmeldeformular daher regelmäßig und fragen Sie bei jedem Feld: „Was würde passieren, wenn wir diese Information nicht erfassen?“

4. Richtigkeit

Personenbezogene Daten müssen richtig und, soweit erforderlich, aktuell sein. Bei einem einmaligen Besuch sollte es dem Besucher oder Gastgeber möglich sein, Fehler in Namen, E-Mail-Adressen oder Kennzeichen zu korrigieren.

Vermeiden Sie außerdem, alte Besucherprofile unbegrenzt wiederzuverwenden, ohne deren Angaben zu prüfen. Fehlerhafte Daten können dazu führen, dass Benachrichtigungen an die falsche Person gesendet werden oder bei einer Evakuierung Probleme entstehen.

5. Speicherbegrenzung

Besucherdaten dürfen nicht länger gespeichert werden, als es für den vorgesehenen Zweck erforderlich ist. Die DSGVO schreibt keine einheitliche Aufbewahrungsfrist für alle Besucherregister vor. Die angemessene Dauer hängt vom Zweck, von gesetzlichen Pflichten und von den jeweiligen Risiken ab.

Legen Sie eine klare Richtlinie fest, beispielsweise eine automatische Löschung nach einem bestimmten Zeitraum, und dokumentieren Sie die Begründung. Unterschiedliche Zwecke können unterschiedliche Aufbewahrungsfristen rechtfertigen.

6. Integrität und Vertraulichkeit

Besucherdaten müssen gegen unbefugten Zugriff, Verlust, Veränderung oder Offenlegung geschützt werden. Dafür sind technische und organisatorische Maßnahmen erforderlich, die dem jeweiligen Risiko entsprechen.

Individuelle Benutzerkonten, begrenzte Zugriffsrechte, Verschlüsselung, regelmäßige Aktualisierungen und ein Verfahren für Sicherheitsvorfälle sind in der Regel sicherer als ein offen auf dem Empfangstresen liegendes Besucherbuch.

7. Rechenschaftspflicht

Es genügt nicht, die Grundsätze einzuhalten. Die Organisation muss die Einhaltung auch nachweisen können. Dokumentieren Sie Zwecke, Rechtsgrundlage, Aufbewahrungsfristen, Sicherheitsmaßnahmen und interne Zuständigkeiten.

Regelmäßige Kontrollen helfen sicherzustellen, dass die tatsächliche Arbeitsweise weiterhin mit den festgelegten Richtlinien übereinstimmt.

Welche Rechtsgrundlage eignet sich für die Besucherregistrierung?

Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage. Für das Besuchermanagement kommen häufig berechtigte Interessen, eine rechtliche Verpflichtung oder in bestimmten Fällen die Erfüllung eines Vertrags infrage.

Ein berechtigtes Interesse kann vorliegen, wenn eine Organisation ihre Räumlichkeiten, Mitarbeiter und Vermögenswerte schützen muss. Dabei ist dieses Interesse gegen die Rechte und Freiheiten der Besucher abzuwägen. Die Verarbeitung muss auf das Notwendige beschränkt und die Abwägung dokumentiert werden.

Eine rechtliche Verpflichtung kann bestehen, wenn Vorschriften bestimmte Aufzeichnungen verlangen, etwa in besonders regulierten oder sicherheitskritischen Umgebungen. Die Vertragserfüllung kann relevant sein, wenn die Registrierung objektiv notwendig ist, um eine angeforderte Leistung zu erbringen.

Eine Einwilligung ist nicht automatisch die beste Wahl. Sie muss freiwillig, spezifisch, informiert und widerrufbar sein. Kann ein Besucher die Einwilligung nicht wirklich verweigern, ohne den Zugang zu einer wesentlichen Leistung zu verlieren, ist sie möglicherweise nicht freiwillig. Legen Sie die Rechtsgrundlage deshalb vor der Gestaltung des Formulars fest – idealerweise gemeinsam mit Ihrer Rechtsberatung oder Ihrem Datenschutzbeauftragten.

Was sollte ein Datenschutzhinweis für Besucher enthalten?

Ein verständlicher Datenschutzhinweis sollte mindestens Folgendes nennen:

• Identität und Kontaktdaten des Verantwortlichen;

• Zwecke der Verarbeitung;

• verwendete Rechtsgrundlage;

• Kategorien der erhobenen Daten;

• Empfänger oder Kategorien von Empfängern;

• Speicherdauer oder Kriterien für ihre Festlegung;

• mögliche internationale Datenübermittlungen und die dazugehörigen Garantien;

• Rechte der betroffenen Person und Möglichkeiten zu deren Ausübung;

• Recht auf Beschwerde bei einer Aufsichtsbehörde;

• Kontaktdaten des Datenschutzbeauftragten, sofern vorhanden.

Zeigen Sie die wichtigsten Informationen direkt am Registrierungsbildschirm und verlinken Sie auf eine ausführlichere Fassung. Der Hinweis muss leicht auffindbar und verständlich sein, bevor der Besucher seine Daten übermittelt.

Welche Besucherdaten sollten Sie erfassen?

Beginnen Sie mit dem Zweck und wählen Sie anschließend die dafür erforderlichen Felder aus. Für einen gewöhnlichen Geschäftsbesuch können Name, Unternehmen, besuchte Person sowie Ankunfts- und Abreisezeit ausreichen. Eine E-Mail-Adresse kann für eine Einladung oder einen QR-Code nützlich sein, ist für den Empfang vor Ort aber nicht immer erforderlich.

Prüfen Sie sorgfältig, ob Sie Folgendes wirklich benötigen:

• ein Foto;

• eine Kopie eines Ausweisdokuments;

• eine Privatadresse;

• ein Geburtsdatum;

• eine private Telefonnummer;

• Gesundheitsdaten oder andere sensible Informationen.

Eine verbreitete Maßnahme ist nicht automatisch verhältnismäßig. Das routinemäßige Kopieren eines Ausweises erzeugt beispielsweise ein deutlich höheres Risiko als eine bloße Sichtprüfung. Ist eine sensible Information unverzichtbar, dokumentieren Sie die Begründung und wenden Sie verstärkte Schutzmaßnahmen an.

Wie lange dürfen Besucherdaten gespeichert werden?

Darauf gibt es keine allgemeingültige Antwort. Für die Sicherheit und Evakuierung kann eine Organisation während des Aufenthalts eine aktuelle Anwesenheitsliste benötigen. Bestimmte Daten können außerdem für einen begrenzten Zeitraum erforderlich sein, um einen Vorfall zu untersuchen oder regulatorische Pflichten zu erfüllen.

Die gewählte Speicherdauer muss sich aus dem Zweck ableiten lassen. Bewahren Sie Daten nicht unbegrenzt „für alle Fälle“ auf. Eine wirksame Richtlinie bestimmt, welche Daten wann und durch welchen Mechanismus gelöscht werden und ob Sicherungskopien demselben Löschzyklus folgen.

Eine automatische Löschung senkt das Risiko, dass Daten vergessen werden. Kontrollieren Sie dennoch, ob die Einstellungen tatsächlich Ihrer Richtlinie entsprechen und eine Konfigurationsänderung die Speicherdauer nicht unbemerkt verlängert.

Wer sollte auf Besucherinformationen zugreifen dürfen?

Wenden Sie das Need-to-know-Prinzip an. Empfangsmitarbeiter benötigen möglicherweise Zugriff auf erwartete und aktuell anwesende Besucher. Sicherheitsverantwortliche können im Notfall eine Anwesenheitsliste brauchen. Das bedeutet jedoch nicht, dass alle Beschäftigten die vollständige Besuchshistorie einsehen dürfen.

Nutzen Sie getrennte Rollen und Berechtigungen, persönliche Konten und eine angemessene Authentifizierung. Entziehen Sie Zugriffsrechte zeitnah, wenn Mitarbeiter ihre Funktion wechseln oder das Unternehmen verlassen. Wenn das Risiko es rechtfertigt, sollten Protokolle festhalten, wer Daten angesehen oder verändert hat.

Sicherheitsanforderungen an digitales Besuchermanagement

Ein digitales System kann den Datenschutz verbessern, allerdings nur bei richtiger Konfiguration und Nutzung. Prüfen Sie insbesondere:

• Verschlüsselung der Daten bei der Übertragung und Speicherung;

• Hosting und Speicherort der Daten;

• Trennung der Daten verschiedener Kunden;

• Datensicherungen und Geschäftskontinuität;

• Umgang mit Schwachstellen und Aktualisierungen;

• Authentifizierung und Zugriffsberechtigungen;

• Protokollierung und Erkennung von Sicherheitsvorfällen;

• Verfahren zur Meldung von Datenschutzverletzungen;

• Möglichkeiten zur Löschung und zum Export von Daten.

Sicherheit ist nicht allein Aufgabe des Anbieters. Ihre Organisation bleibt für die Konfiguration der Zugänge, die am Empfang eingesetzten Geräte, die Schulung der Mitarbeiter und die Bearbeitung von Betroffenenanfragen verantwortlich.

Welche Rechte haben Besucher?

Abhängig von der Situation und der Rechtsgrundlage können Besucher ein Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit haben. Zudem besteht unter bestimmten Voraussetzungen das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden.

Legen Sie ein Verfahren fest, um eine Anfrage zu erkennen, die Identität des Antragstellers angemessen zu überprüfen, die betreffenden Daten aufzufinden und fristgerecht zu antworten. Informieren Sie die betroffene Person auch über mögliche gesetzliche Ausnahmen.

Ihr System sollte Export, Korrektur und Löschung ohne unverhältnismäßigen Aufwand ermöglichen. Testen Sie den Ablauf, bevor die erste tatsächliche Anfrage eingeht.

Benötigen Sie einen Auftragsverarbeitungsvertrag oder eine DSFA?

Verarbeitet ein Anbieter Besucherdaten in Ihrem Auftrag, ist Ihre Organisation in der Regel der Verantwortliche und der Anbieter der Auftragsverarbeiter. Ein Auftragsverarbeitungsvertrag sollte dann unter anderem Weisungen, Vertraulichkeitspflichten, Sicherheitsmaßnahmen, weitere Unterauftragnehmer und die Unterstützung bei Anfragen oder Sicherheitsvorfällen regeln.

Eine Datenschutz-Folgenabschätzung (DSFA) ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Eine gewöhnliche, begrenzte Besucherregistrierung erfordert nicht automatisch eine DSFA. Systematische Überwachung, umfangreiche Verarbeitung sensibler Daten oder biometrische Technologien können sie jedoch erforderlich machen. Bewerten Sie das Risiko vor der Einführung.

Warum ein Besucherbuch aus Papier Datenschutzprobleme verursachen kann

Ein Besucherbuch aus Papier wirkt einfach, birgt aber mehrere Risiken. Besucher können häufig Namen, Unternehmen, Unterschriften sowie Ankunftszeiten vorheriger Personen sehen. Das Buch kann fotografiert, verloren oder von Unbefugten eingesehen werden. Zudem ist es schwierig, präzise Aufbewahrungsfristen anzuwenden oder alle Daten einer bestimmten Person zu finden.

Papier ist durch die DSGVO nicht verboten. Es muss jedoch angemessen geschützt werden, etwa durch einzelne oder abgedeckte Seiten, sichere Aufbewahrung, begrenzten Zugriff und vertrauliche Vernichtung nach einer dokumentierten Richtlinie. In vielen Umgebungen erleichtert ein gut konfiguriertes digitales System die Datenminimierung, Zugriffskontrolle und automatische Löschung.

Praktische DSGVO-Checkliste für das Besuchermanagement

Mit dieser Liste können Sie Ihren bestehenden Prozess überprüfen:

• Legen Sie jeden Zweck der Besucherregistrierung fest.

• Bestimmen und dokumentieren Sie eine geeignete Rechtsgrundlage.

• Entfernen Sie nicht erforderliche Formularfelder.

• Vermeiden Sie sensible Daten, sofern keine klare Notwendigkeit besteht.

• Stellen Sie einen zugänglichen und verständlichen Datenschutzhinweis bereit.

• Legen Sie begründete Aufbewahrungsfristen fest.

• Automatisieren Sie die Löschung, soweit dies möglich ist.

• Beschränken Sie den Zugriff entsprechend den jeweiligen Aufgaben.

• Schützen Sie Konten, Geräte und Datenübertragungen.

• Schließen Sie mit relevanten Anbietern einen Auftragsverarbeitungsvertrag.

• Prüfen Sie internationale Übermittlungen und weitere Unterauftragnehmer.

• Bereiten Sie ein Verfahren für die Wahrnehmung von Betroffenenrechten vor.

• Testen Sie Ihre Reaktion auf Sicherheitsvorfälle und Datenschutzverletzungen.

• Überprüfen Sie Konfiguration und Dokumentation regelmäßig.

Wie Lobbipad datenschutzbewusstes Besuchermanagement unterstützt

Lobbipad hilft Organisationen, offen einsehbare Anmeldelisten und manuelle Arbeitsschritte durch einen strukturierten digitalen Prozess zu ersetzen. Besucher können sich eindeutig registrieren, Gastgeber werden benachrichtigt und berechtigte Personen erhalten Zugriff auf die für ihre Aufgabe notwendigen Informationen.

Einstellungen wie Formularfelder, Zugriffsrechte und Speicherdauer müssen stets auf den Zweck und die Richtlinien Ihrer Organisation abgestimmt werden. Keine Software macht eine Organisation automatisch DSGVO-konform. Die Einhaltung hängt ebenfalls von Ihren Entscheidungen, Verfahren und der gewählten Rechtsgrundlage ab.

Weitere Informationen über den Ansatz von Lobbipad finden Sie auf der DSGVO-Seite und in der Sicherheitsrichtlinie. Dort werden unter anderem die Rollen der Beteiligten, Schutzmaßnahmen und die Nutzung einer europäischen AWS-Infrastruktur in Frankfurt erläutert.

Einen einfacheren und datenschutzfreundlicheren Prozess schaffen

Ein guter Empfangsprozess sollte für Besucher reibungslos und für die Organisation kontrollierbar sein. Erfassen Sie zunächst, welche Daten Sie derzeit verarbeiten. Prüfen Sie für jedes Element den Zweck, die Rechtsgrundlage, die Zugriffsberechtigungen und die Speicherdauer. Entfernen Sie alles, was nicht erforderlich ist, und dokumentieren Sie die verbleibenden Entscheidungen.

Betrachten Sie anschließend die Erfahrung des Besuchers. Ist der Datenschutzhinweis sichtbar? Ist das Formular kurz? Wissen Besucher, an wen sie sich zur Ausübung ihrer Rechte wenden können? Testen Sie abschließend Löschung, Export und Notfallverfahren.

Möchten Sie erfahren, wie Lobbipad Ihr Besuchermanagement unterstützen kann? Vereinbaren Sie eine 30-minütige Online-Demo oder starten Sie eine kostenlose 30-Tage-Testversion. Keine Kreditkarte erforderlich.