DSGVO-konforme Zutrittskontrollsysteme: Anforderungen, Umsetzung und Best Practices

Zutrittskontrollsysteme erfassen personenbezogene Daten, die nach DSGVO besonders geschützt sind.

Laut DSGVO zählen alle individuellen Informationen über eine identifizierbare Person als personenbezogene Daten.

• Identifikationsdaten: Name, Personalnummer, Unternehmenszugehörigkeit

• Zutrittsdaten: Zeitstempel, Tür- und Raumnummer, Standort des Zutritts

• Zutrittsmedium: RFID-Karten, PIN-Codes, biometrische Daten (Fingerabdruck, Gesichtserkennung)

• Sicherheitsfreigaben: Berechtigungen für verschiedene Zutrittsbereiche

Die DSGVO definiert klare Prinzipien für die Verarbeitung personenbezogener Daten.

• Datenminimierung: Erfassung nur der Daten, die unbedingt erforderlich sind.

• Zweckbindung: Zutrittsdaten dürfen nur zur Kontrolle des Zugangs verwendet werden.

• Speicherbegrenzung: Zutrittsprotokolle müssen regelmäßig gelöscht werden.

• Integrität und Vertraulichkeit: Schutz der Daten durch technische Sicherheitsmaßnahmen.

Ein Unternehmen speichert keine detaillierten Bewegungsprofile der Mitarbeitenden, sondern nur erfolgreiche und fehlgeschlagene Zutrittsversuche für maximal 90 Tage.

Die Verarbeitung von Zutrittsdaten muss auf einer gültigen Rechtsgrundlage basieren.

• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Unternehmen müssen den Zutritt zu ihren Gebäuden sicherstellen und Sicherheitsrisiken minimieren.

• Art. 6 Abs. 1 lit. c DSGVO (Gesetzliche Verpflichtung): Arbeitszeit- oder Arbeitsschutzvorgaben erfordern oft Zutrittskontrollen.

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Bei biometrischen Zutrittsmethoden (Fingerabdruck, Gesichtsscan) ist eine ausdrückliche Einwilligung erforderlich.

Ein Unternehmen nutzt RFID-Karten ohne Namen oder Mitarbeiter-ID. Da die Daten nicht direkt einer Person zugeordnet sind, fällt die Verarbeitung unter das berechtigte Interesse des Unternehmens.

• Standard-Zutrittsprotokolle: 30 – 90 Tage, danach automatische Löschung.

• Hochsicherheitsbereiche: Speicherung bis zu 6 Monate, falls notwendig.

• Gesetzlich erforderliche Nachweise: (z. B. Arbeitszeiterfassung) bis zu 3 Jahre.

• Nur autorisierte Personen (z. B. Datenschutzbeauftragte, Sicherheitsabteilung) haben Zugriff

• Protokollierung aller Zugriffe auf die Zutrittslogs

• Alarmierung bei unautorisierter Einsichtnahme in die Daten

Wenn ein Mitarbeitender Zugang zu einer sicherheitskritischen Zone hatte, werden seine Zutrittsdaten nach 90 Tagen automatisch gelöscht, es sei denn, es gibt einen sicherheitsrelevanten Vorfall.

• Ende-zu-Ende-Verschlüsselung der Zutrittsprotokolle

• Trennung von Zutrittsverwaltung und Datenprotokollierung

• Mehrfaktor-Authentifizierung (MFA) für Administratoren des Systems

• Regelmäßige Software-Updates und Sicherheitspatches

Zutrittsdaten werden nur verschlüsselt auf Unternehmensservern gespeichert, und nur zwei Sicherheitsverantwortliche haben Zugriff.

• Auskunftsrecht (Art. 15 DSGVO): Einsehbare Zutrittsprotokolle für Mitarbeitende.

• Recht auf Berichtigung (Art. 16 DSGVO): Unrichtige Zutrittsdaten müssen korrigiert werden.

• Recht auf Löschung (Art. 17 DSGVO): Wenn keine rechtliche Notwendigkeit für die Speicherung besteht.

• Widerspruchsrecht (Art. 21 DSGVO): Mitarbeitende können der Verarbeitung ihrer Daten widersprechen.

Ein Mitarbeitender beantragt die Löschung seiner alten Zutrittsprotokolle. Die Sicherheitsabteilung prüft und löscht die Daten, wenn keine sicherheitsrelevanten Gründe für die Speicherung bestehen.

Falls biometrische Systeme verwendet werden, ist eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich.

• Gibt es eine weniger invasive Alternative (z. B. RFID statt Fingerabdruck)?

• Werden die biometrischen Daten verschlüsselt oder lokal gespeichert?

• Liegen Risiken für die Privatsphäre der Betroffenen vor?