Zugangssysteme: Wann beginnt die Mitarbeiterüberwachung?

Zutrittssysteme sichern Gebäude, abgegrenzte Sicherheitszonen und sensible Daten. Gerade in besonders schützenswerten Umgebungen – etwa in Einrichtungen der kritischen Infrastruktur, in Industrieanlagen, Chemiewerken oder Rechenzentren – sind sie unverzichtbar. Zugleich erzeugt jedes elektronische Zutrittssystem Protokolldaten. Werden diese Daten über den eigentlichen Sicherheitszweck hinaus genutzt, kann aus einer reinen Zutrittskontrolle rasch eine Mitarbeiterüberwachung werden. Unternehmen sollten deshalb nicht nur die Funktion ihres Systems betrachten, sondern genau hinsehen, welche Daten anfallen und wie sie verwendet werden.

Typischerweise fallen bei jeder Buchung mehrere Informationen an: die Kennung des Ausweises oder der Credentials, die Zuordnung zur Person, der genutzte Leser beziehungsweise die Tür, ein Zeitstempel, die Zutrittsrichtung sowie die Angabe, ob der Zutritt gewährt oder abgewiesen wurde. Aus solchen Zutrittsbuchungen lassen sich weitreichende Schlüsse ziehen: Anwesenheit, zurückgelegte Wege, Aufenthaltsdauer, Pausen und sogar Kontakte zwischen Personen. Je engmaschiger das Netz der Leser installiert ist, desto präziser wird das Bewegungsbild einer einzelnen Person.

Wichtig ist die Unterscheidung: Nicht jede Protokollierung ist automatisch Überwachung. Eine Überwachung liegt erst vor, wenn die Daten gezielt oder routinemäßig genutzt werden, um Verhalten oder Leistung von Beschäftigten zu bewerten. Dieser Punkt ist schneller erreicht, als viele annehmen – etwa dann, wenn Führungskräfte regelmäßig Anwesenheiten oder Aufenthaltsorte aus den Zutrittsdaten herauslesen. Die Schwelle verschiebt sich also nicht mit der Technik, sondern mit der tatsächlichen Nutzung.

Besonders heikel sind mehrstufige Sicherheitsarchitekturen. Jeder zusätzliche Leser erhöht sowohl die Datenmenge als auch deren Aussagekraft. Entscheidend ist dabei nicht, was technisch möglich wäre, sondern was organisatorisch erlaubt ist und was in der Praxis wirklich geschieht. Für Datenschutzbeauftragte und Betriebsrat ergeben sich daraus konkrete Prüffragen: Welche Zonen benötigen tatsächlich eine individuelle Kontrolle? Würde eine gröbere Zoneneinteilung ausreichen? Lassen sich Protokolle früh löschen oder pseudonymisieren? Und sind personenbezogene Auswertungen auf konkrete Vorfälle beschränkt?

Die Art der erzeugten Daten hängt stark von der eingesetzten Technik ab. Bei RFID und Transpondern ist der Datensatz zunächst überschaubar. Sensibel wird er vor allem durch die Verknüpfung mit Personalstammdaten und durch Langzeitauswertungen, die über lange Zeiträume Muster erkennbar machen. Mobile Credentials auf Basis von NFC oder Bluetooth Low Energy bringen zusätzliche Datenarten mit sich: Geräte-, App- und Nutzungsdaten, etwa Push-Token, erteilte Berechtigungen für Bluetooth oder Standort, fehlgeschlagene Zutrittsversuche sowie Verknüpfungen mit Zeiterfassung, Alarmanlagen oder Videotechnik. Bluetooth-Systeme können eine Annäherung bereits erkennen, ohne dass aktiv eine Karte vorgehalten werden muss. Werden dafür private Smartphones genutzt, prallen das Sicherheitsinteresse des Unternehmens und die private Gerätesphäre der Beschäftigten aufeinander – gleichwertige Alternativen ohne Rückgriff auf private Geräte sollten daher ernsthaft geprüft werden. Biometrische Verfahren wie Fingerabdruck oder Gesichtserkennung schließlich gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und verlangen zusätzliche Voraussetzungen. Vorrangig sind deshalb kartenbasierte Verfahren, PINs oder Tokens zu prüfen.

Für die rechtliche Zulässigkeit kommen zwei Grundlagen in Betracht: Die Verarbeitung kann für die Durchführung des Beschäftigungsverhältnisses erforderlich sein oder auf berechtigten Sicherheitsinteressen des Unternehmens beruhen. Die Einwilligung dagegen ist im Arbeitsverhältnis meist keine tragfähige Standardlösung, weil die erforderliche Freiwilligkeit wegen des Abhängigkeitsverhältnisses regelmäßig in Zweifel steht. Hinzu kommt die betriebsverfassungsrechtliche Dimension: Bei technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen, ist regelmäßig das Mitbestimmungsrecht aus § 87 Abs. 1 Nr. 6 BetrVG berührt. Entscheidend ist auch hier die objektive Eignung, nicht die Absicht des Arbeitgebers. Eine Betriebsvereinbarung ist häufig der passende Rahmen, sie muss jedoch hinreichend bestimmt sein und die Vorgaben der DSGVO einhalten.

Ein zentrales Prinzip ist die Zweckbindung. Der pauschale Zweck Sicherheit ist zu unbestimmt. Besser sind konkret umrissene Zwecke, etwa die Zutrittssteuerung für einen genau bezeichneten Bereich oder die Aufklärung dokumentierter Vorfälle. Ausdrücklich betont der Beitrag, dass Zutrittskontrolle und Arbeitszeiterfassung zwei verschiedene Zwecke verfolgen; eine gemeinsame Nutzung der Daten setzt deshalb eine gesonderte Prüfung voraus. Für Zugriffe und Auswertungen empfiehlt sich ein restriktives Rollenkonzept mit nachvollziehbarer Freigabe und Vier-Augen-Prinzip. Personenbezogene Auswertungen sollten nur bei einem dokumentierten Sicherheitsanlass erfolgen, etwa bei einem Einbruch, bei Sabotageverdacht oder bei unbefugtem Zutritt.

Auch bei den Speicherfristen gilt Zurückhaltung: Protokolle dürfen nicht auf Vorrat gespeichert werden. Reguläre Ereignisse sind zeitnah zu löschen, eine längere Aufbewahrung ist nur bei konkretem Bedarf gerechtfertigt, etwa bei einem Vorfall oder bestehenden Nachweispflichten. Eine Datenschutz-Folgenabschätzung liegt nahe, sobald mehrere Risikofaktoren zusammenkommen: flächendeckende Bewegungserfassung, die Verarbeitung von Beschäftigtendaten, die Verknüpfung mit Zeiterfassung, Video oder Personalsystemen, eine biometrische Identifizierung oder umfangreiche Auswertungsmöglichkeiten. Die Folgenabschätzung muss die tatsächliche Funktionsweise beschreiben und ist zu aktualisieren, wenn neue Zonen hinzukommen, neue Auswertungen eingeführt werden oder mobile Credentials beziehungsweise biometrische Funktionen ergänzt werden.

Das Fazit des Beitrags ist klar: Technisch lassen sich Zutrittssteuerung und Überwachung kaum trennen. Die rechtlich entscheidende Trennung entsteht erst durch die Ausgestaltung – durch enge Zweckbindung, Datensparsamkeit, kurze Löschfristen, restriktive Zugriffsrechte und klar begrenzte Auswertungsanlässe. Datenschutz, Informationssicherheit und Mitbestimmung sollten deshalb bereits in der Planungsphase eines Zutrittssystems einbezogen werden, nicht erst, wenn das System läuft.