Was ist Zutrittskontrolle?
Zutrittskontrolle bezeichnet Systeme und Maßnahmen, die regeln, welche Personen wann welche Bereiche eines Gebäudes, Geländes oder einer Anlage betreten dürfen. Technische Anforderungen und Empfehlungen veröffentlicht das Bundesamt für Sicherheit in der Informationstechnik (BSI). Sie verhindert unbefugten Zutritt, schützt Betriebsgeheimnisse und sichert gefährliche Bereiche.
Im Handwerk und Bau sind Zutrittskontrollsysteme besonders relevant für:
- Betriebsgebäude mit Lager, Werkzeug und Maschinen
- Baustellen mit Zutrittsbeschränkungen (z. B. durch Auftraggeber)
- Fahrzeugparks und Materialläger
- Serverräume und Datenschutzbereiche in der Verwaltung
Zutrittskontrolle und Zeiterfassung werden häufig in einem System kombiniert — ein Chip oder eine Karte öffnet gleichzeitig die Tür und stempelt den Mitarbeiter ein.
Technologien der Zutrittskontrolle
Je nach Anforderung und Budget kommen verschiedene Technologien zum Einsatz:
Mechanische Schlüsselsysteme: Traditionell, günstig, aber keine elektronische Protokollierung. Für Zutrittsdokumentation nicht geeignet.
RFID-Chipkarten und -Transponder: Die häufigste Form in Betrieben. Ein programmierbarer Chip an der Karte oder am Schlüsselanhänger öffnet autorisierte Türen und protokolliert den Vorgang. Günstig, skalierbar, einfach zu administrieren.
PIN-Codes: Einfach einzurichten, aber unpersönlich — der Code kann weitergegeben werden. Für Bereiche mit hohem Schutzbedarf nicht ausreichend.
NFC-Zeiterfassung: Moderne Smartphones können per NFC als Zutrittsmedium dienen — softwarebasiert, ohne physische Karte.
Biometrische Systeme: Fingerabdruck, Handvenenerkennung oder Gesichtserkennung. Höchste Sicherheit, da nicht übertragbar — aber datenschutzrechtlich besonders sensibel (siehe DSGVO-Abschnitt).
Videoüberwachung: Keine echte Zutrittskontrolle, aber ergänzende Sicherheitsmaßnahme. Unterliegt eigenen DSGVO-Anforderungen.
Zutrittskontrolle und Zeiterfassung: die Kombination
Viele Zeiterfassungssysteme sind direkt mit der Zutrittskontrolle verknüpft. Der Vorteil: Ein einziger Vorgang — Chip an das Terminal halten — dokumentiert gleichzeitig Arbeitsbeginn und Zutritt.
Das spart Zeit, reduziert Fehlerquellen und verhindert, dass Mitarbeiter vergessen einzustempeln. Typisches Szenario:
- Mitarbeiter hält Chipkarte ans Terminal am Eingang
- Tür öffnet sich → Zutritt gewährt
- Zeitstempel wird gesetzt → Arbeitsbeginn erfasst
Beim Verlassen funktioniert es umgekehrt: Ausstempeln und Türfreigabe in einem Vorgang.
Wichtig: Zutrittsdaten und Zeiterfassungsdaten sind nicht identisch. Wer das Gebäude betritt, arbeitet nicht zwingend sofort — und wer stempelt, ist nicht zwingend im Gebäude. Bei kombinierten Systemen muss klar definiert sein, ob der Zutritt oder ein separates Stempeln die Arbeitszeit startet.
DSGVO: Datenschutz bei der Zutrittskontrolle
Zutrittsdaten sind personenbezogene Daten — sie zeigen, wer wann wo war. Die DSGVO gilt damit vollständig:
Rechtsgrundlage erforderlich. Die Verarbeitung der Daten muss auf eine Rechtsgrundlage gestützt werden — in der Regel § 26 BDSG (Beschäftigtendatenschutz) oder eine Betriebsvereinbarung.
Datensparsamkeit. Es dürfen nur die Daten erhoben werden, die für den Zweck notwendig sind. Wer nur den Zutritt zu bestimmten Bereichen kontrollieren will, braucht keine Bewegungsprofile.
Löschfristen. Zutrittsprotokolle müssen nach einer definierten Frist gelöscht werden — typischerweise nach 3 bis 6 Monaten, bei strafrechtlichen Ermittlungen kann es länger sein.
Biometrische Daten: besondere Kategorie. Fingerabdruck- oder Gesichtserkennungsdaten sind nach Art. 9 DSGVO besonders schützenswert. Ihre Verarbeitung ist nur mit ausdrücklicher Einwilligung oder einer spezifischen Rechtsgrundlage zulässig. Eine allgemeine Betriebsvereinbarung reicht nicht aus — es braucht eine individuelle Einwilligung oder einen Tarifvertrag. Details zur DSGVO und Zeiterfassung erklärt der gleichnamige Beitrag.
Informationspflichten. Mitarbeiter müssen über die Datenverarbeitung informiert werden — Art, Zweck, Speicherdauer, Zugriffsrechte (Art. 13 DSGVO).
Mitbestimmung des Betriebsrats
Die Einführung oder wesentliche Änderung eines Zutrittskontrollsystems ist bei Vorhandensein eines Betriebsrats mitbestimmungspflichtig:
- § 87 Abs. 1 Nr. 6 BetrVG: Einführung technischer Einrichtungen, die das Verhalten oder die Leistung der Arbeitnehmer überwachen können
- § 87 Abs. 1 Nr. 1 BetrVG: Ordnung des Betriebs — wer wann wohin darf
Ohne Einigung mit dem Betriebsrat darf das System nicht eingeführt werden. Im Streitfall entscheidet die Einigungsstelle. Eine Betriebsvereinbarung regelt typischerweise: welche Bereiche kontrolliert werden, wer Zugriff auf die Protokolle hat, wie lange Daten gespeichert werden und welche Auswertungen zulässig sind.
Zutrittskontrolle auf der Baustelle
Auf Baustellen gibt es eine Besonderheit: Nicht nur eigene Mitarbeiter, sondern auch Subunternehmer, Lieferanten und Besucher müssen kontrolliert werden. Das Zutrittssystem muss daher:
- Verschiedene Personengruppen mit unterschiedlichen Zugriffsrechten verwalten können
- Subunternehmer-Mitarbeiter erfassen — auch für die Sofortmeldepflicht relevant
- Flexibel genug sein für wechselnde Belegschaften
Mobile Zutrittslösungen — per App oder NFC-Smartphone — eignen sich für Baustellen besser als stationäre Terminals.
- Arbeitszeiten mobil erfassen
- Baustellen und Projekte zuordnen
- Urlaub und Abwesenheiten verwalten
- Lohnabrechnung vorbereiten
- Auswertungen per Klick erstellen
Häufige Fragen zur Zutrittskontrolle
- Was ist der Unterschied zwischen Zutrittskontrolle und Zeiterfassung?Zutrittskontrolle regelt, wer wann wohin darf. Zeiterfassung dokumentiert, wann jemand gearbeitet hat. Viele Systeme kombinieren beides — der Zutritt startet gleichzeitig die Zeiterfassung.
- Welche Technologien gibt es für die Zutrittskontrolle?RFID-Chipkarten, PIN-Codes, NFC-Smartphones, biometrische Systeme (Fingerabdruck, Gesichtserkennung) und mechanische Schlüssel. Die Wahl hängt vom Sicherheitsbedarf und Datenschutzanforderungen ab.
- Sind Zutrittsdaten DSGVO-relevant?Ja. Zutrittsdaten zeigen, wer wann wo war — das sind personenbezogene Daten. Verarbeitung, Speicherung und Löschung müssen DSGVO-konform geregelt sein.
- Brauche ich für biometrische Zutrittssysteme eine Einwilligung?Ja. Biometrische Daten (Fingerabdruck, Gesichtserkennung) sind nach Art. 9 DSGVO besonders schützenswert. Sie dürfen nur mit ausdrücklicher Einwilligung oder spezifischer Rechtsgrundlage verarbeitet werden.
- Muss der Betriebsrat bei der Einführung zustimmen?Ja — wenn ein Betriebsrat vorhanden ist. Die Einführung ist nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Es braucht eine Betriebsvereinbarung oder Einigung.
- Wie lange müssen Zutrittsprotokolle aufbewahrt werden?Es gibt keine gesetzlich festgelegte Frist. Typischerweise 3 bis 6 Monate — danach sind die Daten zu löschen, sofern kein besonderer Grund für eine längere Aufbewahrung vorliegt.