Zugangssysteme schützen Gebäude, Sicherheitszonen, Anlagen und sensible Daten. In KRITIS-Umgebungen, der Industrie, Chemieanlagen oder Rechenzentren sind sie oft Teil eines umfassenden Sicherheitskonzepts. Doch jedes elektronische Zutrittssystem erzeugt Protokolldaten. Werden diese Daten über ihren Sicherheitszweck hinaus ausgewertet, kann aus einer legitimen Schutzmaßnahme schnell eine unzulässige oder zumindest stark reglementierte Mitarbeiterüberwachung werden.
Wo endet Zutrittskontrolle, wo beginnt Mitarbeiterüberwachung?
Der primäre Zweck einer Zutrittskontrolle ist klar: Nur berechtigte Personen sollen bestimmte Bereiche betreten können. Dazu zählen etwa Werkstore, Serverräume, Labore, Leitwarten, Produktionsbereiche oder Maschinenräume. Das System prüft, ob eine Berechtigung besteht, und dokumentiert gegebenenfalls den Zutrittsvorgang.
Dabei entstehen typischerweise Daten wie:
- Kennung des Ausweises oder mobilen Credentials
- Identität beziehungsweise Zuordnung zur berechtigten Person
- Leser oder Tür
- Datum und Uhrzeit
- Zutrittsrichtung
- erfolgreicher oder abgewiesener Zutrittsversuch
Für die unmittelbare Zutrittssteuerung sind diese Daten häufig erforderlich. Datenschutzrechtlich problematisch wird es jedoch, wenn sie dauerhaft, flächendeckend oder für andere Zwecke ausgewertet werden.
Aus einzelnen Zutrittsbuchungen lassen sich bei einer Zusammenführung schnell Rückschlüsse auf Anwesenheit, Wege im Betrieb, Aufenthaltsdauer, Pausen oder Kontakte ziehen. Je dichter das Netz der Leser ist, desto genauer wird das Bild: Wer Werkstor, Gebäudeeingang, Etage, Schleuse und Sicherheitsbereich passiert, hinterlässt eine detaillierte digitale Spur.
Damit ist nicht jede Protokollierung automatisch Mitarbeiterüberwachung. Sie wird es aber, wenn Daten gezielt oder routinemäßig dazu verwendet werden, Verhalten oder Leistung von Beschäftigten zu bewerten. Eine solche Verwendung kann bereits vorliegen, wenn Führungskräfte regelmäßig Anwesenheitszeiten, Pausen oder Aufenthaltsorte aus Zutrittsdaten ableiten.
Besonders sensibel: Mehrstufige Sicherheitsarchitekturen
In sicherheitskritischen Einrichtungen sind mehrere Kontrollpunkte oft notwendig. Dennoch gilt: Jeder zusätzliche Leser erhöht die Datenmenge und die Aussagekraft der Protokolle. Unternehmen sollten daher jeden Kontrollpunkt begründen können. Die zentrale Frage lautet nicht: „Kann das System Bewegungen erfassen?“ Moderne Zutrittslösungen können das fast immer. Entscheidend ist: Welche Auswertungen sind technisch möglich, welche sind organisatorisch erlaubt und welche werden tatsächlich durchgeführt?
Datenschutzbeauftragte und Betriebsrat sollten deshalb frühzeitig prüfen:
- Welche Zonen benötigen wirklich eine individuelle Zutrittskontrolle?
- Reicht eine gröbere Zoneneinteilung aus?
- Können Protokolle für den Regelbetrieb frühzeitig gelöscht oder pseudonymisiert werden?
- Ist eine personenbeziehbare Auswertung auf konkrete Sicherheitsvorfälle beschränkt?
Welche Daten erzeugen RFID, Transponder und mobile Credentials?
Klassische RFID-Ausweise und Transponder sind im Zugangssystem weiterhin weit verbreitet. Der unmittelbare Datensatz ist zunächst überschaubar: Eine Kennung wird am Leser erkannt und im Hintergrundsystem einer Berechtigung oder Person zugeordnet. Sensibel werden die Daten vor allem durch diese Verknüpfung mit Personalstammdaten sowie durch die Auswertung über einen längeren Zeitraum.
Mobile Credentials erweitern das Spektrum. Hier dient ein Smartphone über NFC oder Bluetooth Low Energy als Berechtigungsmedium. Neben Zutrittsereignissen können je nach Lösung weitere Daten verarbeitet werden, etwa:
- Geräte- und Installationskennungen
- App- und Nutzungsdaten, beispielsweise Push-Token
- Informationen über fehlgeschlagene Zutrittsversuche
- Bluetooth- oder Standortberechtigungen
- Verknüpfungen mit Zeiterfassung, Alarmanlagen oder Videotechnik
Bluetooth-basierte Systeme verdienen besondere Aufmerksamkeit. Sie können eine Annäherung an einen Leser erkennen, ohne dass die beschäftigte Person aktiv eine Karte vorhält. Werden private Smartphones genutzt, trifft das Sicherheitsinteresse des Arbeitgebers zudem auf die private Gerätesphäre der Beschäftigten. Hier sollten Unternehmen prüfen, ob eine gleichwertige Alternative ohne private Endgeräte angeboten werden kann.
Noch strenger ist der Maßstab bei biometrischen Verfahren, etwa Fingerabdruck- oder Gesichtserkennung. Biometrische Daten zur eindeutigen Identifizierung gehören zu den besonderen Kategorien personenbezogener Daten. Ihr Einsatz setzt neben einer allgemeinen Rechtsgrundlage zusätzliche Voraussetzungen nach Art. 9 DSGVO voraus. Karten, PINs oder Tokens sind daher vorrangig zu prüfen, bevor biometrische Verfahren eingeführt werden.
Welche Regeln gelten nach DSGVO, BDSG und BetrVG?
Im Beschäftigungskontext greifen Datenschutzrecht und Betriebsverfassungsrecht ineinander. Für die Praxis sind insbesondere fünf Punkte wichtig.
Rechtsgrundlage festlegen
Die Verarbeitung von Beschäftigtendaten kann für die Durchführung des Arbeitsverhältnisses erforderlich sein, etwa zur Steuerung von Zutrittsberechtigungen und zum Schutz sicherheitsrelevanter Bereiche. Daneben können berechtigte Sicherheitsinteressen eine Rolle spielen. Welche Grundlage im Einzelfall trägt, hängt vom Zweck und der konkreten Ausgestaltung ab. Eine Einwilligung ist im Arbeitsverhältnis meist keine tragfähige Standardlösung. Wegen des Abhängigkeitsverhältnisses muss ihre Freiwilligkeit besonders sorgfältig geprüft werden.
Mitbestimmung beachten
Besteht ein Betriebsrat, ist bei technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung zu überwachen, regelmäßig dessen Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG berührt. Dabei kommt es nicht darauf an, ob das Unternehmen ausdrücklich überwachen will. Bereits die objektive Eignung des Systems kann genügen. In der Praxis ist daher eine Betriebsvereinbarung häufig der richtige Rahmen. Sie kann Verarbeitungsvorgaben verbindlich festlegen, muss aber hinreichend bestimmt sein und die Anforderungen der DSGVO einhalten.
Zweckbindung konkret dokumentieren
„Sicherheit“ allein ist zu unbestimmt. Besser sind klar abgegrenzte Zwecke wie „Steuerung des Zutritts zu Sicherheitsbereich A“ oder „Aufklärung dokumentierter unbefugter Zutrittsversuche“. Zutrittskontrolle und Arbeitszeiterfassung sind unterschiedliche Zwecke. Sollen dieselben Daten für beide Funktionen genutzt werden, braucht dies eine gesonderte Prüfung und transparente Regelung.
Zugriffe und Auswertungen begrenzen
Nicht jede Führungskraft sollte Zutrittsprotokolle einsehen können. Sinnvoll sind ein restriktives Rollenkonzept, eine nachvollziehbare Freigabe von Auswertungen und ein Vier-Augen-Prinzip. Personenbezogene Auswertungen sollten ausschließlich bei einem dokumentierten Sicherheitsanlass erfolgen, etwa bei einem Einbruch, Sabotageverdacht oder unbefugtem Zutritt.
Kurze Speicherfristen festlegen
Protokolle dürfen nicht auf Vorrat gespeichert werden. Die Frist muss sich am jeweiligen Sicherheitszweck orientieren. Für reguläre Zutrittsereignisse sind kurze, nachvollziehbar begründete Löschfristen vorzusehen. Eine längere Speicherung kann nur bei konkretem Bedarf zulässig sein, beispielsweise bei einem dokumentierten Vorfall oder besonderen Nachweispflichten.
Wann ist eine Datenschutz-Folgenabschätzung erforderlich?
Eine Datenschutz-Folgenabschätzung (DSFA) ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen verursacht. Bei Zugangssystemen ist das besonders naheliegend, wenn mehrere Risikofaktoren zusammentreffen:
- flächendeckende oder sehr dichte Erfassung von Bewegungen
- Verarbeitung von Beschäftigtendaten
- Verknüpfung mit Zeiterfassung, Video- oder Personalsystemen
- biometrische Identifizierung
- umfangreiche oder automatisierte Auswertungsmöglichkeiten
Die DSFA sollte nicht nur formell erstellt werden. Sie muss konkret beschreiben, wie das System arbeitet und welche Risiken daraus entstehen. Eine DSFA ist kein einmaliger Vorgang. Sie sollte aktualisiert werden, wenn neue Zonen, zusätzliche Auswertungen, mobile Credentials oder biometrische Funktionen eingeführt werden.
Die organisatorische Grenze ist entscheidend
Zugangssysteme und Mitarbeiterüberwachung lassen sich technisch nur begrenzt trennen. Dieselben Ereignisdaten können einerseits einen sicherheitsrelevanten Zutritt steuern und andererseits detaillierte Aussagen über Beschäftigte ermöglichen. Die rechtlich entscheidende Trennung entsteht daher durch die Ausgestaltung: eine eng definierte Zweckbindung, datensparsame Systemarchitektur, kurze Löschfristen, restriktive Zugriffsrechte und klar begrenzte Auswertungsanlässe.
Je höher die Anforderungen an physische Sicherheit und je stärker mobile Zugangstechnologien verbreitet werden, desto wichtiger wird diese Governance. Unternehmen sollten Datenschutz, Informationssicherheit und Mitbestimmung nicht erst bei der Inbetriebnahme einbeziehen. Wer Zwecke, Datenflüsse und Kontrollrechte bereits in der Planungsphase sauber dokumentiert, reduziert Risiken und schafft Akzeptanz bei den Beschäftigten.
