Demo-Termin buchen
30 Minuten, Microsoft Teams, ohne VorbereitungRessourcen
Besucherdaten datenschutzkonform verarbeiten
Besucherdaten gehören Personen, die keinen Vertrag mit Ihnen haben. Entsprechend sorgfältig sollte die Verarbeitung geregelt sein.
Kurz gesagt
Digitales Besuchermanagement verarbeitet personenbezogene Daten von Personen ohne Vertragsverhältnis zur Organisation. Wichtig sind vier Punkte: Datenminimierung bei der Erfassung, ein sichtbarer standortspezifischer Datenschutzhinweis beim Check-in, eine eigene und kurze Aufbewahrungsfrist für Besucherdaten sowie ein klares Rollenkonzept für den Zugriff auf Besucherlisten.
- Typische Daten
- Name, E-Mail, Firma, Zeiten
- Hinweis
- standortspezifisch beim Check-in
- Frist
- getrennt von Buchungsdaten einstellbar
- Rolle
- CGI als Auftragsverarbeiter
Der häufigste Fehler: zu viele Felder
Digitale Besucherlösungen verführen dazu, Formulare zu erweitern – Kfz-Kennzeichen, Ausweisnummer, Gesundheitsfragen, Fotos. Jedes zusätzliche Feld erhöht das Risiko und den Begründungsaufwand. Die nüchterne Frage lautet: Was brauchen Empfang und Sicherheit tatsächlich, um ihre Aufgabe zu erfüllen?
Was digital besser wird als auf Papier
Die Papierliste am Empfang ist aus Datenschutzsicht selten die bessere Lösung: Sie liegt offen, jeder nachfolgende Gast sieht die Vorgänger, es gibt keine Löschfrist und keine Zugriffsbeschränkung. Eine digitale Lösung mit Rollenkonzept, konfigurierter Frist und protokolliertem Zugriff ist – richtig eingerichtet – der datenschutzfreundlichere Weg.
Hinweis
Dieser Leitfaden ersetzt keine Rechtsberatung. Er beschreibt die technischen Möglichkeiten und die in der Praxis bewährten Grundsätze; die datenschutzrechtliche Bewertung für Ihre Organisation liegt bei Ihnen.
So funktioniert es
- 1
Nur erheben, was gebraucht wird
Für den Kernzweck genügen in der Regel Name, E-Mail-Adresse, Firma, Termin und die Check-in-/Check-out-Zeit. Jedes zusätzliche Feld im Anmeldeformular braucht eine Begründung.
- 2
Hinweis sichtbar machen
Der Datenschutzhinweis wird beim Check-in angezeigt und bestätigt – standortspezifisch, weil sich lokale Vorgaben unterscheiden können.
- 3
Eigene Frist setzen
Besucherdaten brauchen in der Regel eine kürzere Aufbewahrung als Buchungsdaten. Door James erlaubt getrennte Anonymisierungs- und Löschfristen je Datenart.
- 4
Zugriff begrenzen
Besucherlisten sollten nur Empfang, Sicherheit und die jeweils zuständigen Standortrollen sehen – nicht die gesamte Administration.
- 5
Sicherheitsunterweisung dokumentieren
Wo eine Unterweisung erforderlich ist, wird ihre Bestätigung beim Check-in erfasst und ist exportierbar – das ersetzt lose Papierbelege.
- 6
Notfallnutzung regeln
Halten Sie fest, dass Besucherdaten im Notfall für die Anwesenheitsliste genutzt werden, und begrenzen Sie den Zugriff auf diesen Zweck.
Häufige Fragen
Dürfen wir Ausweise scannen oder kopieren?
Das geht über den üblichen Zweck weit hinaus und ist rechtlich heikel. Door James benötigt es nicht: Identifikation erfolgt über QR-Code und Visit-ID aus der Einladung.
Wie lange dürfen Besucherdaten gespeichert werden?
Das hängt vom Zweck ab – Empfangsabwicklung, Sicherheit, Nachweispflichten. Legen Sie eine konkrete Frist fest und konfigurieren Sie sie; die technische Möglichkeit dazu ist vorhanden.
Wer ist für die Besucherdaten verantwortlich?
In der Regel Ihre Organisation als Verantwortliche. CGI verarbeitet als Auftragsverarbeiter auf Basis des AVV.
Was ist bei Ad-hoc-Besuchern zu beachten?
Dieselben Grundsätze: minimale Datenerhebung, sichtbarer Hinweis, definierte Frist. Zusätzlich sollte geregelt sein, wer die Anmeldung bestätigt.
Mit jemandem durchsprechen, der es gemacht hat
Rollouts scheitern an immer denselben paar Entscheidungen. Dreißig Minuten darüber kosten weniger, als es im dritten Monat zu merken.