Digitale Besucheranmeldung und DSGVO

Die digitale Erfassung von Besuchern ist zulässig, wenn einige Grundsätze eingehalten werden. Dieser Beitrag behandelt Rechtsgrundlage, Umfang der Datenerhebung, Speicherdauer und Informationspflichten. Er zeigt außerdem, warum eine digitale Lösung den Datenschutz häufig besser umsetzt als das ausliegende Papier-Besucherbuch.

Zulässigkeit der digitalen Besucheranmeldung

Mit der Erfassung von Name, Firma, Ansprechpartner oder Zeitpunkt werden personenbezogene Daten verarbeitet; die DSGVO ist anwendbar. Ein Verbot folgt daraus nicht. Erforderlich sind eine passende Rechtsgrundlage und die Einhaltung der Grundsätze der Datenverarbeitung. Beides ist bei einer Besucheranmeldung gut umsetzbar.

Rechtsgrundlage der Besuchererfassung

In den meisten Fällen stützt sich die Besuchererfassung auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Der Betreiber hat ein legitimes Interesse daran, jederzeit zu wissen, wer sich auf dem Gelände aufhält: für Sicherheit, Zutrittskontrolle und Nachweis. Eine Einwilligung ist hier meist ungeeignet, weil der Zutritt faktisch von der Erfassung abhängt und die Einwilligung damit nicht freiwillig wäre.

Datenminimierung: Beschränkung auf erforderliche Angaben

Zu erheben sind nur die Daten, die für den Zweck erforderlich sind (Art. 5 Abs. 1 lit. c DSGVO). Für eine typische Besucheranmeldung genügen in der Regel:

• Name des Besuchers und entsendende Firma
• Ansprechpartner im Haus und Zeitpunkt von An- und Abmeldung
• ggf. Kfz-Kennzeichen bei Fahrern, sofern betrieblich erforderlich

Zusätzliche Angaben wie Geburtsdatum oder Ausweisnummer sollten nur bei einem konkreten Grund erfasst werden.

Löschfristen und Speicherbegrenzung

Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) dürfen Besucherdaten nur so lange aufbewahrt werden, wie es der Zweck erfordert. Für einfache Besucherlisten ist ein Richtwert von wenigen Wochen üblich (häufig rund vier Wochen); danach ist zu löschen, sofern kein längerer Grund besteht. Am verlässlichsten erfolgt dies über eine automatische Löschung nach fester Frist, die nicht von manuellen Schritten abhängt.

Informationspflicht gegenüber Besuchern

Betroffene müssen wissen, was mit ihren Daten geschieht (Art. 13 DSGVO). Bei der Anmeldung sollten Besucher daher einen kurzen Datenschutzhinweis erhalten: Verantwortlicher, Zweck der Erhebung, Speicherdauer und Rechte der Betroffenen. Bei digitaler Anmeldung lässt sich dieser Hinweis direkt in den Prozess integrieren.

Datenschutzrisiken des offenen Papierbuchs

Beim klassischen Besucherbuch am Empfang sieht jeder, der sich einträgt, die vorherigen Einträge. Namen und Firmen anderer Besucher liegen offen; das ist eine unbefugte Offenlegung personenbezogener Daten. Hinzu kommen unsichere Aufbewahrung (offen abgelegte Ordner) und Entsorgung im normalen Papiermüll. Bei digitaler Anmeldung sieht jeder Besucher nur sein eigenes Formular, der Zugriff ist geschützt, und die Löschung erfolgt automatisch.

Auftragsverarbeitung und Serverstandort

Bei Einsatz einer Software verarbeitet der Anbieter die Daten in Ihrem Auftrag. Dafür ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. Zu prüfen ist außerdem der Serverstandort: Liegt er in der EU, entfallen die Zusatzanforderungen eines Drittlandtransfers.

Besucheranmeldung mit GateSign

GateSign ist von vornherein datenschutzfreundlich aufgebaut: Jeder Besucher sieht nur sein eigenes Formular, die Verarbeitung erfolgt in europäischen Serverregionen, und ein Auftragsverarbeitungsvertrag liegt vor. Einzelne eingesetzte Dienstleister sind US-Unternehmen; diese Übermittlungen sind über Standardvertragsklauseln nach Art. 46 DSGVO abgesichert und im AVV benannt. Datenminimierung und Informationspflicht sind damit im Anmeldeprozess bereits angelegt.

Häufige Fragen

Ist eine digitale Besucheranmeldung DSGVO-konform?

Die digitale Erfassung ist zulässig, sofern eine Rechtsgrundlage besteht und die Grundsätze der DSGVO eingehalten werden. Besucherdaten sind personenbezogen. Mit dem berechtigten Interesse als Grundlage, Datenminimierung, einem Löschkonzept und der Information der Besucher lässt sich die Erfassung datenschutzgerecht umsetzen, häufig besser als mit einem Papier-Besucherbuch.

Welche Rechtsgrundlage gilt für die Besuchererfassung?

In der Regel das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Der Betreiber hat ein Interesse daran, jederzeit zu wissen, wer sich auf dem Gelände befindet, und zwar für Sicherheit, Zutrittskontrolle und Nachweis. Eine Einwilligung ist meist ungeeignet, da der Zutritt faktisch von der Erfassung abhängt und die Einwilligung damit nicht freiwillig wäre.

Wie lange dürfen Besucherdaten gespeichert werden?

Nur so lange wie erforderlich (Grundsatz der Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Für einfache Besucherlisten ist ein Richtwert von wenigen Wochen üblich, häufig rund vier Wochen. Danach sind die Daten zu löschen, sofern kein längerer Aufbewahrungsgrund besteht.

Ist ein Papier-Besucherbuch datenschutzkonform?

Nur eingeschränkt. Ein offen ausliegendes Buch, in dem nachfolgende Besucher frühere Einträge lesen können, ist datenschutzrechtlich problematisch. Zulässig ist die Papierlösung nur, wenn die Einträge für Dritte nicht einsehbar sind, sicher aufbewahrt und nach Ablauf der Frist sicher vernichtet werden (z. B. Aktenvernichter).

Brauche ich einen Auftragsverarbeitungsvertrag (AVV)?

Ja. Bei Nutzung der Software eines Anbieters verarbeitet dieser die Daten in Ihrem Auftrag (Art. 28 DSGVO). Dafür ist ein Auftragsverarbeitungsvertrag erforderlich. Zusätzlich ist der Serverstandort zu prüfen; ein Serverstandort in der EU vermeidet die Zusatzanforderungen eines Drittlandtransfers.

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind der Einzelfall und die aktuelle Rechtslage. Für die verbindliche Beurteilung wenden Sie sich bitte an Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten.