Die DSGVO stellt hohe Anforderungen an Zutrittskontrollsysteme, da diese personenbezogene Daten verarbeiten. Unternehmen müssen Rechtsgrundlagen für die Datenverarbeitung schaffen, technische und organisatorische Maßnahmen (TOM) implementieren, Datenminimierung und Zweckbindung gewährleisten, Betroffenenrechte umsetzen und Dokumentationspflichten sowie gegebenenfalls Datenschutz-Folgenabschätzungen (DSFA) erfüllen. Eine unabhängige Fachplanung ist hierfür essenziell.

Umfassende Expertise für datenschutzkonforme Zutrittskontrollsysteme

Die Implementierung von Zutrittskontrollsystemen ist für Unternehmen unerlässlich, birgt jedoch komplexe datenschutzrechtliche Herausforderungen. Eine rechtskonforme Umsetzung nach DSGVO ist entscheidend, um sensible Daten zu schützen und rechtliche Risiken zu minimieren. Wir beleuchten die wesentlichen Anforderungen und zeigen auf, wie eine unabhängige Planung dabei unterstützt.

Key Takeaways

• Zutrittskontrollsysteme verarbeiten personenbezogene Daten und unterliegen daher vollumfänglich der DSGVO. Eine fundierte Rechtsgrundlage und umfassende Technische und Organisatorische Maßnahmen (TOM) sind zwingend erforderlich.
• Die Prinzipien der Datensparsamkeit und Zweckbindung müssen konsequent umgesetzt werden. Dies betrifft die Art der erhobenen Daten, ihre Speicherdauer und die ausschließliche Nutzung für den festgelegten Zweck.
• Eine unabhängige Planung und Beratung ist entscheidend, um Herstellerabhängigkeiten zu vermeiden, alle DSGVO-Anforderungen von Beginn an zu berücksichtigen und eine zukunftssichere, rechtskonforme Lösung zu implementieren.

Moderne Zutrittskontrollsysteme sind ein Grundpfeiler der physischen Sicherheit in Unternehmen, Behörden und Organisationen. Sie regeln, wer wann und wo Zutritt erhält, und schützen so Gebäude, IT-Infrastrukturen sowie sensible Unternehmensbereiche vor unbefugtem Zugriff. Gleichzeitig erfassen diese Systeme jedoch personenbezogene Daten, was sie unmittelbar in den Anwendungsbereich der Datenschutz-Grundverordnung (DSGVO) rückt. Die rechtskonforme Gestaltung solcher Systeme ist daher keine Option, sondern eine zwingende Notwendigkeit, um sowohl die Unternehmenswerte zu sichern als auch die Privatsphäre der Betroffenen zu wahren und empfindliche Bußgelder zu vermeiden. Eine fundierte Planung ist der Schlüssel zur erfolgreichen Umsetzung dieser komplexen Anforderungen.

Grundlagen der Zutrittskontrolle und ihre Relevanz für die DSGVO

Zutrittskontrollsysteme sind darauf ausgelegt, den physischen Zugang zu bestimmten Bereichen oder Gebäuden zu steuern und zu protokollieren. Dies reicht von einfachen mechanischen Schließanlagen bis hin zu komplexen elektronischen Systemen mit Biometrie, Chipkarten oder Transpondern. Unabhängig von der technologischen Ausprägung erfassen diese Systeme in der Regel personenbezogene Daten. Dazu gehören typischerweise Identifikationsdaten wie Name, Personalnummer oder Unternehmenszugehörigkeit sowie Zutrittsdaten wie Zeitstempel, Tür- und Raumnummer oder der genaue Standort des Zutrittsereignisses.

Die Erfassung, Speicherung und Verarbeitung dieser Daten unterliegt den strengen Vorgaben der Datenschutz-Grundverordnung (DSGVO). Artikel 32 DSGVO verpflichtet Unternehmen, angemessene technische und organisatorische Maßnahmen (TOM) zu ergreifen, um die Sicherheit der Verarbeitung zu gewährleisten und personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Veränderung zu schützen. Ein Verstoß gegen diese Prinzipien kann nicht nur zu erheblichen rechtlichen Konsequenzen führen, sondern auch das Vertrauen von Mitarbeitenden und Geschäftspartnern nachhaltig schädigen. Die Unterscheidung zwischen Zutrittskontrolle (physischer Zugang), Zugangskontrolle (digitaler Zugang zu IT-Systemen) und Zugriffskontrolle (Berechtigungen innerhalb eines Systems) ist dabei essenziell, auch wenn alle drei Aspekte im Rahmen eines umfassenden Sicherheitskonzepts datenschutzrechtlich relevant sind.

Die sorgfältige Planung eines Zutrittskontrollsystems muss daher von Anfang an die datenschutzrechtlichen Implikationen berücksichtigen. Dies bedeutet, nicht nur die Sicherheitsanforderungen des Unternehmens zu erfüllen, sondern auch die Grundsätze der DSGVO, wie Datensparsamkeit, Transparenz und Rechenschaftspflicht, konsequent umzusetzen. Eine unabhängige Beratung, wie sie PLANATEL^® seit über 34 Jahren bietet, ist hierbei von unschätzbarem Wert, um eine herstellerneutrale und rechtskonforme Lösung zu entwickeln, die den spezifischen Bedürfnissen des Unternehmens gerecht wird.

Rechtsgrundlagen für die Verarbeitung von Zutrittsdaten nach DSGVO

Jede Verarbeitung personenbezogener Daten in einem Zutrittskontrollsystem bedarf einer gültigen Rechtsgrundlage gemäß Artikel 6 DSGVO. Ohne eine solche Grundlage ist die Datenverarbeitung unzulässig und kann zu empfindlichen Bußgeldern führen. Die relevantesten Rechtsgrundlagen im Kontext der Zutrittskontrolle sind:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Die betroffene Person hat ihre freiwillige, informierte und eindeutige Einwilligung zur Verarbeitung ihrer Daten für einen oder mehrere bestimmte Zwecke gegeben. Dies ist oft die scheinbar einfachste, aber in der Praxis schwierigste Rechtsgrundlage, da die Freiwilligkeit im Arbeitsverhältnis oft angezweifelt werden kann.
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich. Dies könnte beispielsweise bei Dienstleistern relevant sein, die vertraglich zum Zugang zu bestimmten Bereichen berechtigt sind.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt. Dies kann sich aus spezifischen Gesetzen oder Verordnungen ergeben, die bestimmte Sicherheitsmaßnahmen vorschreiben.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Dies ist die am häufigsten genutzte Rechtsgrundlage für Zutrittskontrollsysteme in Unternehmen, um den Schutz von Eigentum, Betriebsgeheimnissen oder die Sicherheit von Mitarbeitenden zu gewährleisten. Eine sorgfältige Interessenabwägung ist hierbei zwingend erforderlich.

Besondere Vorsicht ist geboten, wenn biometrische Daten (z.B. Fingerabdrücke, Iris-Scans) verarbeitet werden. Diese fallen unter die „besonderen Kategorien personenbezogener Daten“ gemäß Artikel 9 DSGVO und erfordern zusätzliche, strengere Rechtsgrundlagen, wie die ausdrückliche Einwilligung oder eine Rechtsvorschrift, die dies erlaubt. PLANATEL^® unterstützt Unternehmen dabei, die passende Rechtsgrundlage für ihr spezifisches Zutrittskontrollsystem zu identifizieren und die erforderlichen Dokumentationen zu erstellen, um die Rechtskonformität von Anfang an sicherzustellen.

Technische und organisatorische Maßnahmen (TOM) für DSGVO-konforme Zutrittskontrolle

Artikel 32 DSGVO fordert die Implementierung geeigneter technischer und organisatorischer Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Im Kontext der Zutrittskontrolle sind diese Maßnahmen vielfältig und umfassen sowohl physische als auch digitale Aspekte. Ziel ist es, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste dauerhaft sicherzustellen.

Zu den wesentlichen technischen Maßnahmen gehören:

• Verschlüsselung und Pseudonymisierung: Sensible Zutrittsdaten sollten, wo immer möglich, verschlüsselt oder pseudonymisiert werden, um die Identifizierung der betroffenen Personen zu erschweren.
• Zugriffskontrollen: Implementierung von Rollen- und Berechtigungskonzepten, die sicherstellen, dass nur autorisiertes Personal auf die Zutrittskontrollsysteme und die darin enthaltenen Daten zugreifen kann. Dies umfasst auch die Protokollierung von Zugriffen.
• Automatisierte Löschmechanismen: Zutrittsprotokolle und andere personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den festgelegten Zweck erforderlich ist. Automatisierte Löschkonzepte sind hierfür unerlässlich.
• Sichere Systemarchitektur: Die gesamte Systemarchitektur muss auf Sicherheit ausgelegt sein, inklusive Firewalls, Anti-Viren-Software und regelmäßigen Sicherheitsupdates.

Organisatorische Maßnahmen ergänzen die technischen Vorkehrungen:

• Schlüssel- und Medienverwaltung: Eine geregelte Verwaltung von Zutrittsmedien (Chipkarten, Transponder) und Schlüsseln, inklusive Verlustmeldeprozessen.
• Mitarbeiterschulungen: Regelmäßige Schulungen des Personals im Umgang mit dem Zutrittskontrollsystem und den datenschutzrechtlichen Vorgaben.
• Besucherregelungen: Klare Prozesse für die Anmeldung, Begleitung und Dokumentation von Besuchern.
• Notfallpläne: Konzepte zur raschen Wiederherstellung der Verfügbarkeit von Daten und Systemen bei physischen oder technischen Zwischenfällen.

PLANATEL^® unterstützt Unternehmen bei der Entwicklung und Implementierung eines umfassenden TOM-Konzepts, das individuell auf die Risikobewertung und die spezifischen Anforderungen des Unternehmens zugeschnitten ist. Dabei berücksichtigen wir stets den Stand der Technik und die aktuellen gesetzlichen Vorgaben.

Datensparsamkeit und Zweckbindung als zentrale DSGVO-Prinzipien

Die Prinzipien der Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO) und Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO) sind Eckpfeiler der DSGVO und von besonderer Bedeutung für Zutrittskontrollsysteme. Datensparsamkeit bedeutet, dass nur solche personenbezogenen Daten erhoben und verarbeitet werden dürfen, die für den jeweiligen Zweck unbedingt erforderlich sind. Dies schließt auch die Speicherdauer ein: Daten sind zu löschen, sobald der Zweck, für den sie erhoben wurden, entfallen ist.

Im Kontext der Zutrittskontrolle bedeutet dies beispielsweise:

• Minimale Datenmenge: Es sollten nur die Daten erfasst werden, die zur Steuerung und Protokollierung des Zutritts zwingend notwendig sind. Muss wirklich der vollständige Name gespeichert werden, oder reicht eine anonymisierte ID?
• Zweckgebundene Speicherung: Zutrittsprotokolle dürfen nicht unbegrenzt aufbewahrt werden. Die Speicherdauer muss klar definiert und begründet sein, z.B. zur Aufklärung von Straftaten, zur Erfüllung rechtlicher Nachweispflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine Speicherdauer von wenigen Tagen oder Wochen ist oft ausreichend, es sei denn, es gibt spezifische gesetzliche Vorgaben oder ein konkreter Vorfall erfordert eine längere Aufbewahrung.
• Keine unnötige Verknüpfung: Daten aus der Zutrittskontrolle sollten nicht ohne zwingenden Grund mit anderen Datensätzen (z.B. Arbeitszeiten, Leistungsdaten) verknüpft werden, wenn dies nicht dem ursprünglichen Zweck dient.

Das Prinzip der Zweckbindung verlangt, dass personenbezogene Daten nur für die explizit und legitim festgelegten Zwecke verarbeitet werden dürfen, für die sie ursprünglich erhoben wurden. Eine spätere Änderung des Zwecks ist nur unter engen Voraussetzungen zulässig. Für Zutrittskontrollsysteme bedeutet dies, dass der primäre Zweck – die Sicherstellung der physischen Sicherheit – klar kommuniziert und eingehalten werden muss. Eine Nutzung der Daten zur Leistungs- oder Verhaltenskontrolle von Mitarbeitenden ist in der Regel unzulässig, es sei denn, es gibt eine explizite Rechtsgrundlage und eine umfassende Information der Betroffenen. PLANATEL^® unterstützt Unternehmen dabei, klare Zweckbestimmungen zu formulieren und technische Lösungen zu planen, die diese Prinzipien effektiv umsetzen.

Betroffenenrechte und deren Umsetzung bei Zutrittskontrollsystemen

Die DSGVO stärkt die Rechte der betroffenen Personen erheblich. Unternehmen, die Zutrittskontrollsysteme betreiben, müssen in der Lage sein, diese Rechte jederzeit zu gewährleisten und auf entsprechende Anfragen fristgerecht zu reagieren. Die wichtigsten Betroffenenrechte umfassen:

• Auskunftsrecht (Art. 15 DSGVO): Betroffene Personen haben das Recht, Auskunft darüber zu erhalten, ob und welche personenbezogenen Daten über sie verarbeitet werden, zu welchen Zwecken, an wen diese weitergegeben werden und wie lange sie gespeichert werden.
• Recht auf Berichtigung (Art. 16 DSGVO): Betroffene können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten verlangen.
• Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO): Unter bestimmten Voraussetzungen können Betroffene die Löschung ihrer Daten verlangen, z.B. wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): In bestimmten Fällen können Betroffene die Einschränkung der Verarbeitung ihrer Daten verlangen, z.B. wenn die Richtigkeit der Daten bestritten wird.
• Widerspruchsrecht (Art. 21 DSGVO): Betroffene können der Verarbeitung ihrer Daten widersprechen, insbesondere wenn die Verarbeitung auf einem berechtigten Interesse beruht.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Betroffene haben das Recht, ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese einem anderen Verantwortlichen zu übermitteln.

Die Umsetzung dieser Rechte erfordert klare interne Prozesse und technische Möglichkeiten im Zutrittskontrollsystem. Unternehmen müssen beispielsweise in der Lage sein, schnell und vollständig Auskunft über die Zutrittshistorie einer Person zu geben oder deren Daten bei Bedarf zu löschen. Dies kann eine Herausforderung darstellen, insbesondere bei älteren oder komplexen Systemen. PLANATEL^® berät bei der Konzeption von Systemen, die diese Anforderungen von vornherein berücksichtigen, und unterstützt bei der Entwicklung von Richtlinien und Prozessen zur rechtskonformen Bearbeitung von Betroffenenanfragen.

Dokumentationspflichten und Datenschutz-Folgenabschätzung (DSFA)

Die DSGVO legt großen Wert auf die Rechenschaftspflicht des Verantwortlichen (Art. 5 Abs. 2 DSGVO). Dies bedeutet, dass Unternehmen nicht nur die DSGVO einhalten, sondern dies auch jederzeit nachweisen können müssen. Eine zentrale Rolle spielen dabei das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) und die Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35 DSGVO.

Das Verzeichnis von Verarbeitungstätigkeiten muss detaillierte Informationen über alle Datenverarbeitungsprozesse im Unternehmen enthalten, einschließlich der Zwecke der Verarbeitung, der Kategorien der betroffenen Personen und Daten, der Empfänger, der Speicherdauer und der angewandten TOMs. Zutrittskontrollsysteme müssen hierin als eigenständige Verarbeitungstätigkeit aufgeführt werden.

Eine Datenschutz-Folgenabschätzung (DSFA) ist immer dann erforderlich, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Dies ist insbesondere der Fall bei:

• Systematischer und umfassender Bewertung persönlicher Aspekte (inkl. Profiling), die Rechtswirkungen entfaltet.
• Umfangreicher Verarbeitung besonderer Kategorien von Daten (z.B. biometrische Daten) oder Daten über strafrechtliche Verurteilungen.
• Systematischer, umfangreicher Überwachung öffentlich zugänglicher Bereiche.

Der Einsatz biometrischer Zutrittskontrollsysteme erfordert in der Regel eine DSFA. Auch die umfangreiche Videoüberwachung in Verbindung mit Zutrittskontrolle kann eine DSFA notwendig machen. Die DSFA ist vor Beginn der Verarbeitung durchzuführen und sollte als dynamisches Instrument verstanden werden, das regelmäßig überprüft und aktualisiert wird. Ergibt die DSFA ein hohes Restrisiko, das nicht durch die ergriffenen Maßnahmen eingedämmt werden kann, muss vor der Verarbeitung die zuständige Datenschutzaufsichtsbehörde konsultiert werden (Art. 36 DSGVO).

PLANATEL^® unterstützt Unternehmen bei der Erstellung des Verzeichnisses von Verarbeitungstätigkeiten und der Durchführung von DSFA für Zutrittskontrollsysteme. Unsere Expertise hilft dabei, potenzielle Risiken frühzeitig zu erkennen und geeignete Maßnahmen zu planen, um die Rechtskonformität zu gewährleisten.

Auswahl und Planung DSGVO-rechtskonformer Zutrittskontrollsysteme – Die Rolle der unabhängigen Beratung

Die Auswahl und Planung eines Zutrittskontrollsystems, das sowohl den Sicherheitsanforderungen als auch den DSGVO-Vorgaben gerecht wird, ist eine komplexe Aufgabe. Unternehmen stehen vor der Herausforderung, aus einer Vielzahl von Technologien und Herstellern die passende Lösung zu finden. Hierbei ist eine unabhängige und herstellerneutrale Beratung von entscheidender Bedeutung, um eine objektive Bewertung zu gewährleisten und eine optimale, zukunftssichere Investition zu tätigen.

PLANATEL^® agiert seit 1992 als unabhängiges Planungs- und Beratungsunternehmen. Unsere Rolle besteht darin, unsere Kunden durch den gesamten Prozess der Systemauswahl und -planung zu führen, ohne an bestimmte Hersteller oder Produkte gebunden zu sein. Dies garantiert, dass die Empfehlungen ausschließlich auf den individuellen Bedürfnissen und der bestmöglichen technischen sowie datenschutzrechtlichen Eignung basieren. Wir beginnen mit einer detaillierten Ist-Analyse und Bedarfsermittlung, um die spezifischen Sicherheitsrisiken und datenschutzrelevanten Anforderungen des Unternehmens zu verstehen. Darauf aufbauend entwickeln wir eine Soll-Konzeption, die alle Aspekte der DSGVO-rechtskonformen Datenverarbeitung berücksichtigt.

Unsere Leistungen umfassen unter anderem:

• Risikoanalyse und Schutzbedarfsfeststellung: Bewertung der Schutzbedürftigkeit von Daten und Bereichen.
• Konzeption von TOMs: Entwicklung maßgeschneiderter technischer und organisatorischer Maßnahmen.
• Spezifikation von Systemanforderungen: Definition der funktionalen und nicht-funktionalen Anforderungen an das Zutrittskontrollsystem unter Berücksichtigung der DSGVO.
• Erstellung von Ausschreibungsunterlagen: Formulierung klarer und datenschutzkonformer Leistungsbeschreibungen für die Vergabe an Errichter.
• Begleitung im Vergabeprozess: Unterstützung bei der Auswahl qualifizierter Errichter und der Bewertung von Angeboten.
• Abnahme und Rechnungsprüfung: Sicherstellung, dass die implementierte Lösung den geplanten Anforderungen und der DSGVO entspricht.

Durch diese umfassende und unabhängige Planung stellen wir sicher, dass das implementierte Zutrittskontrollsystem nicht nur technisch leistungsfähig, sondern auch dauerhaft rechtskonform ist und somit das Vertrauen der Betroffenen stärkt und rechtliche Risiken minimiert.

Häufige Fehler und Best Practices bei der Implementierung von Zutrittskontrolle

Die Implementierung eines Zutrittskontrollsystems ist ein komplexes Projekt, bei dem leicht Fehler unterlaufen können, die weitreichende datenschutzrechtliche Konsequenzen haben. Eine vorausschauende Planung und die Beachtung von Best Practices sind daher unerlässlich.

Häufige Fehler:

• Unzureichende Rechtsgrundlage: Die Verarbeitung von Zutrittsdaten ohne eine klare und dokumentierte Rechtsgrundlage ist ein häufiger und schwerwiegender Verstoß.
• Fehlende oder unzureichende TOMs: Das Versäumnis, angemessene technische und organisatorische Maßnahmen zu implementieren, kann zu Datenpannen führen und die Sicherheit des Systems untergraben.
• Mangelnde Datensparsamkeit: Die Erfassung und Speicherung von mehr Daten als unbedingt notwendig oder eine zu lange Speicherdauer sind direkte Verstöße gegen die DSGVO.
• Ignorieren von Betroffenenrechten: Unzureichende Prozesse zur Bearbeitung von Auskunfts- oder Löschungsanfragen können zu Beschwerden bei Aufsichtsbehörden und Schadensersatzansprüchen führen.
• Fehlende DSFA bei hohem Risiko: Insbesondere bei biometrischen Systemen oder umfangreicher Überwachung ist eine fehlende oder unzureichende Datenschutz-Folgenabschätzung ein erhebliches Risiko.
• Mangelnde Transparenz: Betroffene Personen werden nicht ausreichend über die Datenverarbeitung informiert.
• Herstellerabhängigkeit: Eine zu starke Bindung an einen Hersteller kann die Flexibilität bei der Anpassung an neue datenschutzrechtliche Anforderungen einschränken.

Best Practices:

• „Privacy by Design“ und „Privacy by Default“: Datenschutz sollte von Anfang an in die Planung des Systems integriert werden (Art. 25 DSGVO). Systeme sollten standardmäßig die datenschutzfreundlichsten Einstellungen aufweisen.
• Regelmäßige Überprüfung: Die Wirksamkeit der TOMs und die Einhaltung der DSGVO sollten regelmäßig überprüft und bewertet werden.
• Klare Verantwortlichkeiten: Definieren Sie klare Zuständigkeiten für den Datenschutz im Zusammenhang mit der Zutrittskontrolle.
• Umfassende Dokumentation: Führen Sie ein vollständiges Verzeichnis von Verarbeitungstätigkeiten und dokumentieren Sie alle Entscheidungen und Maßnahmen zur DSGVO-rechtskonformen Umsetzung.
• Schulung der Mitarbeitenden: Sensibilisieren und schulen Sie alle relevanten Mitarbeitenden regelmäßig im Umgang mit personenbezogenen Daten und den Systemen.
• Unabhängige Beratung: Ziehen Sie frühzeitig unabhängige Experten wie PLANATEL^® hinzu, um eine objektive Bewertung und Planung sicherzustellen und Fehler von vornherein zu vermeiden. Unsere über 34 Jahre Erfahrung in der herstellerneutralen Beratung sind hierbei ein entscheidender Vorteil.

Nächster Schritt

Kontaktieren Sie uns für ein unverbindliches Erstgespräch.

PLANATEL® — Unabhängige Planung und Beratung seit 1992
Tel: 040 / 23 73 02-30
E-Mail: info@planatel.de

Häufig gestellte Fragen

Welche Rechtsgrundlagen kommen für die Verarbeitung von Zutrittsdaten in Frage?

Für die Verarbeitung von Zutrittsdaten können verschiedene Rechtsgrundlagen nach Art. 6 DSGVO herangezogen werden. Dazu zählen die Einwilligung der betroffenen Person, die Erfüllung eines Vertrags, eine rechtliche Verpflichtung oder das berechtigte Interesse des Verantwortlichen. Bei biometrischen Daten sind die Anforderungen nach Art. 9 DSGVO strenger und erfordern meist eine ausdrückliche Einwilligung oder eine spezifische Rechtsvorschrift. Eine sorgfältige Prüfung der jeweiligen Situation ist unerlässlich.

Wie lange dürfen Zutrittsprotokolle gespeichert werden?

Die Speicherdauer von Zutrittsprotokollen muss dem Grundsatz der Datensparsamkeit folgen und zweckgebunden sein. Daten dürfen nur so lange gespeichert werden, wie es für den ursprünglichen Zweck (z.B. Aufklärung von Straftaten, Nachweispflichten) erforderlich ist. Eine pauschale, unbegrenzte Speicherung ist unzulässig. Oft reichen wenige Tage oder Wochen aus, es sei denn, es gibt konkrete Anlässe oder gesetzliche Vorgaben, die eine längere Aufbewahrung rechtfertigen. Automatisierte Löschkonzepte sind hierbei essenziell.

Müssen Mitarbeitende über die Zutrittskontrolle informiert werden?

Ja, gemäß den Informationspflichten der DSGVO (Art. 13, 14) müssen betroffene Personen, also auch Mitarbeitende, umfassend über die Datenverarbeitung im Rahmen der Zutrittskontrolle informiert werden. Dies beinhaltet den Zweck der Verarbeitung, die Rechtsgrundlage, die Kategorien der verarbeiteten Daten, die Speicherdauer, die Empfänger der Daten und ihre Rechte als betroffene Person. Diese Informationen müssen transparent und leicht zugänglich sein, idealerweise bereits vor der Implementierung des Systems.

Welche Rolle spielt die DIN VDE 0833 für Zutrittskontrollsysteme im Kontext der DSGVO?

Die DIN VDE 0833 ist eine nationale Normenreihe, die das Planen, Errichten, Erweitern, Ändern und Betreiben von Gefahrenmeldeanlagen regelt, wozu auch Zutrittskontrollsysteme zählen können. Obwohl sie primär technische Anforderungen definiert, trägt die Einhaltung dieser Normen zur Gewährleistung der Datensicherheit bei, indem sie ein hohes technisches Schutzniveau sicherstellt. Dies unterstützt die Umsetzung der technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO und somit die Rechtskonformität der Anlage.

Wie kann PLANATEL^® bei der DSGVO-rechtskonformen Planung von Zutrittskontrollsystemen unterstützen?

PLANATEL^® bietet als unabhängiges Planungs- und Beratungsunternehmen seit 1992 herstellerneutrale Expertise. Wir unterstützen Unternehmen bei der Ist-Analyse, Bedarfsermittlung, der Entwicklung von Soll-Konzepten und der Spezifikation von Systemanforderungen, die alle DSGVO-Anforderungen berücksichtigen. Dies umfasst die Identifizierung der passenden Rechtsgrundlagen, die Konzeption von TOMs, die Durchführung von Datenschutz-Folgenabschätzungen und die Erstellung von Ausschreibungsunterlagen. Unser Ziel ist es, eine maßgeschneiderte, rechtskonforme und zukunftssichere Lösung zu planen.

Wann ist eine Datenschutz-Folgenabschätzung (DSFA) für Zutrittskontrolle notwendig?

Eine DSFA ist erforderlich, wenn die Zutrittskontrolle voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Dies ist insbesondere bei der umfangreichen Verarbeitung besonderer Kategorien von Daten (z.B. biometrische Daten) oder bei systematischer, umfangreicher Überwachung öffentlich zugänglicher Bereiche der Fall.

Welche Daten dürfen in einem Zutrittskontrollsystem gespeichert werden?

Es dürfen nur die personenbezogenen Daten gespeichert werden, die für den festgelegten Zweck der Zutrittskontrolle unbedingt erforderlich sind (Datensparsamkeit). Dazu gehören typischerweise Identifikationsdaten (z.B. Name, Personalnummer) und Zutrittsdaten (Zeitstempel, Ort). Die Speicherdauer muss ebenfalls zweckgebunden und minimal sein.

Was ist der Unterschied zwischen Zutritts-, Zugangs- und Zugriffskontrolle?

Die Zutrittskontrolle regelt den physischen Zugang zu Gebäuden oder Räumen. Die Zugangskontrolle schützt den digitalen Zugang zu IT-Systemen. Die Zugriffskontrolle verwaltet die Berechtigungen eines Nutzers innerhalb eines Systems, um bestimmte Aktionen oder Funktionen auszuführen. Alle drei sind für den Datenschutz relevant.

Welche Rolle spielen Technische und Organisatorische Maßnahmen (TOM) bei der Zutrittskontrolle?

Sie umfassen technische Vorkehrungen wie Verschlüsselung und Zugriffskontrollen sowie organisatorische Maßnahmen wie Schlüsselverwaltung und Mitarbeiterschulungen, um Daten vor unbefugtem Zugriff zu schützen.

Quellen und weiterführende Informationen

• fm-connect.com
• simons-voss.com
• juraforum.de
• weka.de
• gfos.com