Besucherliste DSGVO-konform in einer Woche umstellen

Sieben Tage bis zur TISAX-Prüfung, und die Besucherliste ist auf Papier

“Nächste Woche Montag ist meine erneute Kontrolle. Bekommt ihr es hin, mir diesen Punkt zu lösen?” Das war nicht der Abschluss eines Kennenlerngesprächs, sondern eine der ersten Fragen darin. Der Kunde hatte eine TISAX-Prüfung hinter sich, ein offenes Finding auf dem Tisch und einen Nachprüfungstermin, der sich nicht verschieben ließ.

Das Finding betraf nicht die Firewall und nicht die Berechtigungsstruktur. Es betraf das Klemmbrett am Empfang. Genau dort bleibt ein Prüfer stehen, weil er den Prozess sehen kann, ohne ein System zu öffnen — und weil der Empfang in vielen Unternehmen der letzte Ablauf ist, der vollständig auf Papier läuft.

Ich habe zugesagt, unter einer Bedingung: dass wir drei Dinge sofort bekommen. Am Donnerstag war installiert, am Freitag getestet, am Montag war die Prüfung bestanden. Dieser Beitrag zeigt, warum die ausgelegte Besucherliste am Datenschutz scheitert, was ein Prüfer am Empfang stattdessen sehen will, und welche drei Zulieferungen darüber entscheiden, ob eine Umstellung in einer Woche realistisch ist.

Warum die ausgelegte Besucherliste ein Datenschutzproblem ist

Die Liste am Empfang erfüllt zwei Funktionen gleichzeitig, und nur eine davon ist gewollt. Sie dokumentiert, wer im Haus ist. Und sie zeigt jedem, der als nächster unterschreibt, wer heute schon da war, aus welcher Firma, bei welchem Ansprechpartner und wie lange.

Das ist der Kern des Problems. Name, Arbeitgeber, Ansprechpartner und Uhrzeit sind personenbezogene Daten, und für ihre Offenlegung gegenüber dem nächsten Besucher gibt es keinen Zweck und damit keine Rechtsgrundlage. Die DSGVO verlangt in Artikel 5 die Vertraulichkeit der Verarbeitung — eine offen liegende Liste ist das Gegenteil davon. Für einen Wettbewerbsbesuch ist dieselbe Liste außerdem eine Kundenliste zum Mitlesen.

Zwei weitere Punkte kommen fast immer dazu:

Datenminimierung. Gewachsene Formulare fragen Dinge ab, die niemand braucht: Kfz-Kennzeichen, Privatadresse, Ausweisnummer. Erhoben wird, was auf dem Vordruck steht, nicht was der Zweck erfordert.
Aufbewahrung. Der abgeheftete Ordner im Regal hinter dem Tresen hat keine Löschfrist. Er hat einen Rücken, auf dem eine Jahreszahl steht, und er bleibt so lange stehen, wie Platz ist.

Es lohnt sich, die Liste einmal als das zu betrachten, was sie ist: ein Pförtnerformular aus einer Zeit, in der der Pförtner der einzige war, der es lesen konnte. In dieser Konstellation war das Verfahren sauber. Sie ist heute an den meisten Empfängen nicht mehr gegeben — der Tresen ist offen, der Besucher schreibt selbst, und niemand hat entschieden, dass sich daran etwas ändern müsste.

Was ein Prüfer am Empfang tatsächlich sehen will

Es geht bei einem solchen Finding nicht um das Medium. Papier ist nicht verboten und ein Tablet ist kein Nachweis. Geprüft wird der Prozess und die Frage, ob er belegbar ist. Vier Punkte stehen dabei im Mittelpunkt:

Registrierung. Wer war wann im Haus, bei wem, und ist das nachvollziehbar dokumentiert?
Unterweisung. Hat der Besucher die Verhaltensregeln, den Datenschutzhinweis und die Sicherheitsinformationen zu Fluchtwegen erhalten — und ist die Bestätigung dokumentiert?
Zugriff. Wer darf die Besucherdaten sehen, und wer nicht?
Löschung. Nach welcher Frist verschwinden die Daten, und wer stellt sicher, dass das passiert?

Der Unterschied zwischen Papier und System liegt weniger in der Sorgfalt als in der Nachweisbarkeit. Ein unterschriebener Zettel im Ordner belegt eine Unterweisung. Er belegt nicht, dass alle Besucher unterwiesen wurden, er belegt nicht, welche Fassung der Verhaltensregeln damals galt, und er löscht sich nicht selbst.

Genau das ist der Punkt, an dem eine digitale Anmeldung nicht nur die Compliance-Lücke schließt, sondern den Empfang einfacher macht. Der Besucher meldet sich selbst an, quittiert die Unterweisung mit einem Klick, der Gastgeber wird automatisch informiert, und die Liste ist für niemanden sichtbar außer für die, die sie brauchen. Die Aufbewahrungsfrist ist keine Absicht mehr, sondern eine Einstellung.

Die drei Zulieferungen, ohne die es nicht schnell geht

Die Zusage im Kennenlerngespräch war keine Heldentat, sondern eine Rechnung. Eine Woche reicht, wenn die Software nicht auf Informationen warten muss, die nur der Kunde hat. Diese drei haben wir angefordert, und der Kunde hat sie am selben Tag geliefert, an dem die Bestellung kam.

Administrativer Zugriff auf den Microsoft-365-Tenant

Die Lösung läuft nicht bei uns, sondern in der eigenen Umgebung des Kunden — die Besucherdaten bleiben damit dort, wo die übrigen Unternehmensdaten auch liegen. Das ist bei einer Datenschutzanforderung das stärkste Argument und spart die Diskussion über Auftragsverarbeitung mit einem weiteren Anbieter. Voraussetzung ist ein administrativer Zugriff für die Einrichtung.

Eine Beschreibung, wie der Empfang heute abläuft

Kein Konzept, keine Prozesslandkarte. Eine halbe Seite genügt: Wer sitzt am Empfang, wann ist er besetzt, was passiert bei angemeldeten und was bei unangemeldeten Besuchern, wer holt sie ab, was passiert mit Handwerkern und Lieferanten. Diese halbe Seite ist der Teil, den wir nicht selbst schreiben können, und sie ist regelmäßig der erste Moment, in dem intern jemand feststellt, dass zwei Kollegen den Ablauf unterschiedlich beschreiben. Wenn Sie ohnehin an einem Managementsystem arbeiten, ist das eine gute Gelegenheit — wie wir solche Abläufe aufnehmen, zeigen wir Ihnen gerne im Gespräch: Termin ausmachen.

Die Texte zur Besucherinformation

Verhaltensregeln, Datenschutzhinweis, Sicherheitsunterweisung, Fluchtwege. Das ist der eigentliche Engpass, und er hat nichts mit Technik zu tun: Diese Texte müssen inhaltlich stimmen und intern freigegeben sein. Liegen sie vor, ist das Einpflegen eine Sache von Minuten. Liegen sie nicht vor, hilft kein Termindruck — wir können sie nicht erfinden, und ein Prüfer erkennt einen Mustertext.

Für genau diesen Ablauf haben wir Besuchermanagement 365 gebaut: Anmeldung am Empfang, Unterweisung mit Bestätigung, Benachrichtigung des Gastgebers, Auswertung und Löschung — innerhalb von Microsoft 365, ohne zusätzliche Plattform. Der Fall oben ist der Grund, warum die Einrichtung so schlank gehalten ist: Bis Donnerstag installiert, Freitag mit dem Empfangsteam getestet, Montag geprüft.

Wo eine Woche nicht reicht

Das stärkste Gegenargument zuerst: Eine Papierliste kann datenschutzkonform sein. Ein Einzelblatt pro Besucher, sofort weggelegt statt ausgelegt, mit einer definierten Aufbewahrungsfrist und einem Ablageort, an den nicht jeder kommt — damit ist der Kern der Anforderung erfüllt. Wer zwei Besucher pro Woche hat, sollte das ernsthaft prüfen, statt Software einzuführen. Die Frage, ob es den Aufwand wert ist, steht vor der Frage, was technisch schöner wäre.

Umgekehrt kippt die Rechnung, sobald Menge, Standorte oder Nachweispflichten dazukommen. Und eine Woche ist kein Versprechen, sondern das Ergebnis günstiger Umstände. Länger dauert es zuverlässig, wenn

die Texte zur Besucherinformation noch nicht existieren oder eine Freigabe durch Datenschutz und Betriebsrat brauchen,
mehrere Standorte mit unterschiedlichen Abläufen betroffen sind,
die Installation durch interne IT-Prozesse und Genehmigungen für Security etc. abgewickelt werden müssen.

Wir sagen das vorher, weil ein gerissener Termin teurer ist als ein realistischer.

Häufig gestellte Fragen

Ist eine Besucherliste auf Papier grundsätzlich unzulässig?

Nein. Unzulässig ist, dass sie offen ausliegt und dadurch die Daten früherer Besucher gegenüber späteren offenlegt. Ein Einzelblatt pro Besucher, das sofort abgelegt und fristgerecht gelöscht wird, ist ein anderer Sachverhalt.

Wie lange dürfen wir Besucherdaten aufbewahren?

Eine pauschale Frist gibt es nicht — die Dauer richtet sich nach dem Zweck, für den Sie die Daten erheben. Legen Sie die Frist deshalb bewusst fest, halten Sie sie im Löschkonzept fest und begründen Sie sie. Ein Prüfer fragt in der Regel nach der Begründung, nicht nach einer bestimmten Zahl.

Was ist mit Besuchern, die kein Tablet bedienen wollen?

Das ist der Regelfall, nicht die Ausnahme, und der Grund, warum der Empfang nicht wegfällt. Die Anmeldung muss auch von der Person am Tresen für den Besucher erledigt werden können — sonst verlagern Sie die Reibung nur auf den unangenehmsten Moment des Besuchs.

Fazit: Der Empfang ist ein Prozess, kein Formular

Das Finding in diesem Fall war nicht “falsches Werkzeug am Empfang”, sondern “unkontrollierte Offenlegung personenbezogener Daten”. Deshalb ließ es sich in einer Woche schließen: Die Anforderung war klar, und der Kunde hatte die Antworten auf die drei Fragen, die nur er beantworten kann. Die Software war der kleinere Teil.

Wenn Sie ein offenes Finding zur Besucherdokumentation haben oder vor einer TISAX-Prüfung stehen, prüfen Sie zuerst diese drei Dinge: Wer kann Ihre Besucherliste lesen, welche Angaben brauchen Sie wirklich, und wann werden sie gelöscht. Für alles, was danach offen bleibt, sprechen Sie uns an — wir schauen uns Ihren Empfangsablauf an und sagen Ihnen, ob Ihr Termin realistisch ist.