DSGVO im Besuchermanagement: Was Unternehmen wissen müssen
- Von occur
- 2. Juni
- 3 Min. Lesezeit
Aktualisiert: 12. Juni
Wer Besucher empfängt, verarbeitet personenbezogene Daten – und damit greift die Datenschutz-Grundverordnung (DSGVO). Was viele Unternehmen unterschätzen: Schon ein Besucherbuch am Empfang ist datenschutzrechtlich relevant. Dieser Leitfaden zeigt, welche Anforderungen die DSGVO ans Besuchermanagement stellt – und wie Unternehmen sie rechtssicher umsetzen.
Warum gilt die DSGVO im Besuchermanagement?
Sobald ein Unternehmen Besucherdaten erfasst – Name, Firma, Ankunftszeit, Ansprechpartner – verarbeitet es personenbezogene Daten. Die DSGVO definiert diese als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Selbst ein simpler Eintrag in eine Liste fällt darunter.
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) gibt zur DSGVO klare Auslegungshinweise. Verstöße können mit Bußgeldern von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes geahndet werden.
Die wichtigsten DSGVO-Prinzipien fürs Besuchermanagement
Wer Besucherdaten verarbeitet, muss fünf zentrale DSGVO-Prinzipien beachten:
Rechtmäßigkeit: Es braucht eine Rechtsgrundlage (Einwilligung oder berechtigtes Interesse)
Datenminimierung: Nur Daten erfassen, die wirklich nötig sind
Zweckbindung: Daten nur für den ursprünglich angegebenen Zweck nutzen
Speicherbegrenzung: Daten löschen, sobald der Zweck erfüllt ist
Integrität und Vertraulichkeit: Daten technisch und organisatorisch schützen
Welche Besucherdaten dürfen erfasst werden?
Grundsätzlich gilt: So wenig wie möglich, so viel wie nötig. In den meisten Fällen reichen folgende Daten:
Vor- und Nachname des Besuchers
Firma oder Organisation (falls relevant)
Ankunftszeit und Abreisezeit
Name des Ansprechpartners im Haus
Besuchszweck (optional, je nach Kontext)
Daten wie Geburtsdatum, Adresse oder Telefonnummer sind in den meisten Fällen nicht erforderlich – und damit nach dem Prinzip der Datenminimierung auch nicht erlaubt.
Wie lange dürfen Besucherdaten gespeichert werden?
Hier gibt es keine pauschale Antwort – es kommt auf den Zweck der Speicherung an. Allgemein gilt:
Normale Besucherdaten
In der Regel ein bis drei Monate, danach Löschung. Aufsichtsbehörden empfehlen meist maximal 30 Tage.
Sicherheitsrelevante Bereiche
In sensiblen Branchen wie Krankenhäusern, Justizgebäuden oder Behörden können längere Aufbewahrungsfristen gerechtfertigt sein – etwa für Nachverfolgbarkeit oder Audit-Anforderungen.
Gesetzliche Aufbewahrungspflichten
Wenn es gesetzliche Vorgaben gibt (z.B. im Gesundheitswesen), gehen diese vor. Wichtig: Die Aufbewahrungsfrist muss vorab dokumentiert und transparent kommuniziert werden.
Braucht es eine Einwilligung des Besuchers?
Oft reicht das berechtigte Interesse des Unternehmens (Art. 6 Abs. 1 lit. f DSGVO) als Rechtsgrundlage – etwa zum Schutz von Mitarbeitern, Eigentum oder zur Erfüllung von Sicherheitsvorgaben. Eine ausdrückliche Einwilligung ist nur dann nötig, wenn besonders sensible Daten erfasst werden (z.B. Gesundheitsdaten in Kliniken). Details zur Einwilligung liefert die BfDI.
Wichtig ist in jedem Fall die Transparenz: Besucher müssen erfahren, welche Daten warum erfasst werden. Das erfolgt meist über einen Datenschutzhinweis am Empfang oder direkt am Self-Service Kiosk, den der Besucher digital bestätigt.
Warum Papierlisten ein DSGVO-Risiko sind
Das klassische Besucherbuch ist datenschutzrechtlich problematisch: Jeder Besucher sieht die Einträge der vorigen Gäste. Das verletzt die Vertraulichkeit – und ist damit ein klarer DSGVO-Verstoß. Warum genau Papier-Besucherlisten ein DSGVO-Risiko sind, haben wir in einem eigenen Artikel ausführlich aufbereitet.
Wie digitales Besuchermanagement DSGVO-Konformität sicherstellt
Eine digitale Besuchermanagement-Software löst alle DSGVO-Anforderungen strukturell:
Verschlüsselte Datenerfassung – keine offenen Listen
Automatische Löschung nach definierten Fristen
Datenschutzhinweise digital am Kiosk angezeigt und bestätigt
Zugriffsrechte differenziert vergeben (Need-to-know-Prinzip)
Audit-Trail dokumentiert alle Zugriffe revisionssicher
Auch das integrierte Zutrittsmanagement arbeitet DSGVO-konform: Zutrittsrechte werden gezielt zugewiesen, alle Bewegungen protokolliert und nach Ablauf der Aufbewahrungsfrist automatisch gelöscht.
DSGVO-Checkliste fürs Besuchermanagement
Bevor Sie Ihr Besuchermanagement starten, prüfen Sie diese sechs Punkte:
Welche Daten werden erfasst – und sind alle wirklich nötig?
Auf welcher Rechtsgrundlage werden sie verarbeitet?
Wie lange werden sie gespeichert – und wer löscht sie?
Wer hat Zugriff auf die Daten – und ist das dokumentiert?
Sind technische und organisatorische Maßnahmen (TOMs) umgesetzt?
Werden Besucher transparent über die Datenverarbeitung informiert?
Fazit
DSGVO-konformes Besuchermanagement ist machbar – aber nicht mit Papierlisten oder Excel-Tabellen. Eine moderne digitale Lösung wie occur löst alle DSGVO-Anforderungen strukturell: verschlüsselte Datenerfassung, automatische Löschung, klare Zugriffsrechte und transparente Information der Besucher. Das schützt nicht nur vor Bußgeldern, sondern auch vor Reputationsschäden.
Hinweis: Dieser Artikel ersetzt keine rechtliche Beratung. Bei konkreten Fragen wenden Sie sich an einen Datenschutzbeauftragten oder Fachanwalt für IT-Recht.
