Zutrittskontrolle Unternehmen: 5 Verfahren, DSGVO-Pflichten und Kosten des Empfangs

Was bedeutet Zutrittskontrolle und was ist Zugriffskontrolle?

Wer sich mit dem Thema Zutrittskontrolle Unternehmen beschäftigt, stößt schnell auf zwei Begriffe, die oft vermischt werden. Zutrittskontrolle regelt, wer ein Gebäude, eine Etage, eine Zone oder einen einzelnen Raum betreten darf, wann das erlaubt ist und wie dieser Zutritt nachvollzogen wird. Dazu gehören das Prüfen von Ausweisen, Karten, Codes oder biometrischen Merkmalen sowie die Protokollierung der Zutritte.

Zugriffskontrolle ist der weiter gefasste Begriff. Er beschreibt die Steuerung von Berechtigungen ganz allgemein, also sowohl auf physische Bereiche als auch auf IT-Systeme, Datenbanken oder Anwendungen. In vielen Sicherheitskonzepten dient er als Oberbegriff, unter dem Zutritt (Raum) und Zugriff (Daten) gemeinsam geplant werden. Für ein Unternehmen ist diese Unterscheidung praktisch relevant: Die Personalabteilung vergibt häufig beides gleichzeitig, wenn neue Beschäftigte anfangen, und entzieht beides, wenn sie das Unternehmen verlassen.

Eine Zutrittskontrolle besteht im Kern aus drei Bausteinen. Erstens der Identifikation: Wer steht vor der Tür? Zweitens der Berechtigungsprüfung: Darf diese Person jetzt diesen Bereich betreten? Drittens der Dokumentation: Wer war wann wo? Diese drei Schritte gelten unabhängig davon, ob ein Schlüssel im Zylinder steckt, eine Karte am Leser liegt oder eine Empfangskraft den Besucherausweis prüft.

Der wichtigste Gedanke dahinter ist das Prinzip der minimalen Berechtigung. Jede Person erhält nur die Zutrittsrechte, die sie für ihre Aufgabe tatsächlich braucht. Ein Lieferant benötigt die Warenannahme, nicht das Serverzimmer. Ein Gast braucht den Besprechungsraum, nicht die Entwicklungsabteilung. Je klarer diese Logik im Unternehmen festgelegt ist, desto leichter lässt sich anschließend die passende Technik oder Organisation auswählen.

Zutrittskontrolle Unternehmen: Welche Arten gibt es?

Für die Zutrittskontrolle in Unternehmen stehen grundsätzlich fünf Verfahren zur Verfügung, die sich in Sicherheit, Aufwand und Flexibilität deutlich unterscheiden. In vielen Betrieben laufen mehrere davon parallel, etwa ein mechanischer Generalschlüssel für die Haustechnik und Transponder für die Belegschaft.

Hinzu kommt eine sechste, organisatorische Form: der besetzte Empfang mit Besuchermanagement. Er ersetzt keine Türtechnik, ergänzt sie aber dort, wo Technik an Grenzen stößt: bei unangemeldeten Gästen, bei Lieferungen, bei Ausnahmen und bei Personen, die eine Tür hinter einer berechtigten Person passieren wollen.

Häufig entstehen daraus Hybridlösungen. Ein Unternehmen nutzt dann etwa Transponder für die Außentüren, eine Kombination aus Karte und PIN für das Rechenzentrum und einen Empfang, der Besucherausweise ausgibt und wieder einsammelt. Die Stärke liegt in der Abstufung nach Schutzbedarf, nicht in einem einzelnen Verfahren.

• Mechanischer Schlüssel: einfach, stromunabhängig und robust. Nachteil: Ein verlorener Schlüssel lässt sich nicht sperren, Zutritte werden nicht protokolliert, und Rechte lassen sich nur durch Austausch von Zylindern ändern.
• Karte oder Transponder: Standard in vielen Bürogebäuden. Rechte lassen sich zentral vergeben, zeitlich begrenzen und bei Verlust sofort sperren. Die Karte kann aber weitergegeben werden.
• PIN oder Code: günstig und ohne Medium nutzbar. Codes werden jedoch oft weitererzählt und selten gewechselt, was die Sicherheit mit der Zeit schwächt.
• Mobile Credentials: das Smartphone als Ausweis. Praktisch für Fremdfirmen und wechselnde Teams, setzt aber ein gepflegtes Gerätemanagement voraus.
• Biometrie: Fingerabdruck, Gesicht oder Venenmuster sind fest an die Person gebunden. Dafür gelten erhöhte datenschutzrechtliche Anforderungen, weil biometrische Daten zur Identifizierung nach Art. 9 DSGVO besonders geschützt sind.

Wie wählen Sie das passende Verfahren aus?

Die Auswahl beginnt nicht beim Produkt, sondern beim Gebäude. Teilen Sie Ihre Flächen zunächst in Zonen ein: öffentlich zugängliche Bereiche wie Foyer und Empfang, allgemeine Bürobereiche, sensible Bereiche wie Personalakten oder Labore und hochsensible Bereiche wie Serverräume oder Tresore. Jede Zone erhält einen Schutzbedarf, aus dem sich das Verfahren ableitet.

Im zweiten Schritt definieren Sie Rollen. Bewährt hat sich eine Trennung nach Beschäftigten, Führungskräften, Haustechnik, Reinigung, Fremdfirmen, Lieferanten und Besuchern. Für jede Rolle legen Sie fest, welche Zonen zu welchen Zeiten freigegeben sind. Ein Reinigungsteam braucht etwa Zutritt in den Abendstunden, nicht aber am Wochenende. So entsteht eine Berechtigungsmatrix, die Ihre Zutrittskontrolle im Unternehmen nachvollziehbar macht.

Danach prüfen Sie die Verfahren anhand konkreter Kriterien:

Die Kriterien und typischen Stolpersteine fasst die Übersicht oben zusammen. Wichtig ist, dass Technik und Organisation zusammenpassen: Das beste Kartensystem nützt wenig, wenn niemand Besucher begleitet oder offene Brandschutztüren meldet. Planen Sie deshalb von Anfang an, wer im Unternehmen Rechte vergibt, wer sie prüft und wer im Störfall entscheidet.

• Sperrbarkeit: Lässt sich ein verlorenes Medium sofort deaktivieren?
• Protokollierung: Werden Zutritte revisionssicher erfasst, und lassen sich die Daten fristgerecht löschen?
• Notfallbetrieb: Öffnen Fluchttüren auch bei Stromausfall, und gibt es eine mechanische Notöffnung?
• Skalierbarkeit: Funktioniert das System auch an weiteren Standorten mit einheitlichen Regeln?
• Bedienbarkeit: Kommen Beschäftigte und Gäste ohne lange Einweisung zurecht?
• Mitbestimmung: Ist der Betriebsrat eingebunden, wenn Zutrittsdaten Rückschlüsse auf das Verhalten von Beschäftigten erlauben?

Welche Datenschutzregeln gelten für Besucherdaten?

Jede Zutrittskontrolle verarbeitet personenbezogene Daten, und beim Besuchermanagement betrifft das auch Menschen, die nicht zum Unternehmen gehören. Maßgeblich ist die Datenschutz-Grundverordnung. Nach Art. 5 DSGVO gelten unter anderem die Grundsätze der Zweckbindung, der Datenminimierung und der Speicherbegrenzung. Sie dürfen also nur die Daten erheben, die für den konkreten Zweck erforderlich sind, und müssen sie löschen, sobald dieser Zweck entfallen ist.

Für ein typisches Besuchermanagement reichen in der Regel wenige Angaben: Name, Firma, Ansprechperson im Haus sowie Ankunfts- und Abgangszeit. Ausweisnummern, Geburtsdaten oder Fotos sind nur dann begründbar, wenn der Schutzbedarf des Bereichs das ausdrücklich verlangt. Die Rechtsgrundlage muss vorab festgelegt und dokumentiert werden; in Betracht kommt nach Art. 6 DSGVO häufig das berechtigte Interesse an der Sicherheit des Gebäudes.

Besonders oft vernachlässigt wird die Information der Betroffenen. Art. 13 DSGVO verlangt, dass Besucher bei der Erhebung erfahren, wer verantwortlich ist, wofür die Daten genutzt werden und wie lange sie gespeichert bleiben. Am Empfang genügt dafür meist ein gut sichtbarer Aushang mit Verweis auf eine ausführliche Datenschutzinformation.

Ein klassischer Fehler ist das offen ausliegende Besucherbuch auf Papier: Jeder neue Gast sieht, wer vor ihm im Haus war. Besser sind Einzelbelege oder ein digitales System mit rollenbasiertem Zugriff. Wird der Eingangsbereich zusätzlich per Kamera beobachtet, gelten weitere Anforderungen an Transparenz und Speicherdauer; für öffentlich zugängliche Räume ist § 4 BDSG zu beachten. Hilfreiche Einordnungen bieten die Orientierungshilfen der Datenschutzkonferenz.

Welche Rolle übernimmt der Empfang mit Besuchermanagement?

Technische Zutrittskontrolle beantwortet die Frage, ob ein Medium berechtigt ist. Ein besetzter Empfang beantwortet die Frage, ob die Situation stimmt. Er erkennt, wenn ein angeblicher Techniker keinen Auftrag nachweisen kann, wenn eine Person einer berechtigten Mitarbeiterin durch die Tür folgt oder wenn ein Gast ohne Begleitung in Richtung Produktion läuft. Diese Bewertung kann kein Kartenleser leisten.

Zu den typischen Aufgaben eines professionellen Empfangsdienstes gehören die Anmeldung von Besuchern, die Ausgabe und Rücknahme von Besucherausweisen, die Benachrichtigung der Ansprechperson, die Einweisung von Fremdfirmen in Hausordnung und Sicherheitsregeln sowie das Führen datensparsamer Protokolle. Je nach Anforderungsprofil kommen Telefonzentrale, Fremdsprachen oder die Bedienung der Zutrittssoftware hinzu.

Bei den Kosten werden Empfangs- und Pfortendienste nach besetzten Stunden kalkuliert. Übliche Richtwerte aus der Praxis liegen im Tagdienst bei rund 26 bis 29 € je Kraft und Stunde, berechnet auf Basis der BDSW-Tariflöhne. Zuschläge entstehen für Früh-, Spät- und Wochenendschichten.

Ein Rechenbeispiel: Eine Kraft besetzt den Empfang montags bis freitags von 8 bis 18 Uhr, also 10 Stunden täglich. Bei 21 Arbeitstagen ergeben sich 210 Stunden im Monat und damit rund 5.460 bis 6.090 €. Benötigt ein größerer Standort zwei Kräfte über 12 Stunden, sind es 24 Stunden pro Tag und rund 624 bis 696 € täglich. Wichtig für den Vergleich ist, ob Urlaubs- und Krankheitsvertretung bereits eingerechnet ist. Weitere Details zur Kalkulation finden Sie im Beitrag Was kostet ein Empfangsdienst.

Welche Fehler passieren bei der Einführung am häufigsten?

Viele Probleme mit der Zutrittskontrolle im Unternehmen entstehen nicht durch schlechte Technik, sondern durch fehlende Prozesse. Das zeigt sich meist erst Monate nach der Einführung, wenn Berechtigungen gewachsen sind und niemand mehr genau weiß, wer welche Tür öffnen kann.

Diese Fehler begegnen in der Praxis besonders häufig:

Planen Sie deshalb feste Prüftermine ein, etwa eine halbjährliche Kontrolle aller aktiven Berechtigungen. Dokumentieren Sie Wartung und Rechtevergabe, damit Verantwortlichkeiten auch bei Personalwechsel klar bleiben. Wo Kameras ergänzend eingesetzt werden, lohnt ein Blick auf die Anforderungen an eine datenschutzkonforme Videoüberwachung.

Ein abgestimmtes Konzept aus Technik, klaren Rollen und einem besetzten Empfang deckt die meisten Risiken ab. Wenn Sie dabei eine zweite Meinung wünschen, lassen Sie sich von Snoel unverbindlich zum Empfangsdienst mit Besuchermanagement beraten.

• Rechte werden nicht entzogen: Ausgeschiedene Beschäftigte oder abgeschlossene Fremdfirmenaufträge behalten aktive Karten. Abhilfe schafft ein fester Austrittsprozess mit der Personalabteilung.
• Sammelberechtigungen aus Bequemlichkeit: Alle erhalten Zutritt zu allem, weil die Rollenplanung fehlt.
• Kein Notfallkonzept: Bei Stromausfall oder Systemstörung ist unklar, wie Fluchtwege funktionieren und wer Türen manuell öffnet.
• Endlose Speicherung: Zutrittsprotokolle werden jahrelang aufbewahrt, obwohl der Zweck längst erfüllt ist.
• Besucher ohne Begleitung: Ausweise werden ausgegeben, aber nicht wieder eingesammelt, und niemand prüft, ob Gäste das Gebäude verlassen haben.
• Betriebsrat zu spät eingebunden: Systeme, die Verhalten oder Leistung von Beschäftigten erfassen können, unterliegen in der Regel der Mitbestimmung nach dem Betriebsverfassungsgesetz.