Fast jedes Unternehmen hat eine ungeschriebene Regel für Besucher: „Am Empfang melden und eintragen.“ Eine echte Besucherregelung haben nur wenige — also ein Dokument, das festlegt, wer empfängt, was erfasst wird, wer begleitet, was im Notfall passiert und wie lange die Daten aufbewahrt werden. Dieser Leitfaden zeigt, wie Sie sie einfach schreiben, wie Sie sie im Alltag durchsetzen, ohne den Empfang zu belasten, und was Sie erwartet, wenn ein Auditor danach fragt.
Kurz gesagt
Eine Besucherregelung (auch Besucherordnung oder Zutrittsregelung) ist das interne Dokument, das festlegt, wer das Gelände betreten darf, wie die Person erfasst wird, wer während des Aufenthalts für sie verantwortlich ist und wie sie das Haus wieder verlässt. Der Empfang braucht sie, um jeden Tag gleich zu arbeiten; die Sicherheitsfachkraft, um im Notfall zu wissen, wer im Gebäude ist; und wer den Datenschutz verantwortet, um Besucherdaten korrekt zu verarbeiten.
Lang muss sie nicht sein: Zwei bis drei gut geschriebene Seiten reichen fast immer. Sie muss aber jeden Tag anwendbar sein — eine Regelung, die der Empfang am Montagmorgen um acht Uhr nicht einhalten kann, ist nur ein Blatt im Ordner. Das Besucherbuch, ob auf Papier oder digital wie IRIGuest, ist das Werkzeug, mit dem die Regelung überprüfbar wird.
Eine Besucherregelung entsteht meist aus einem von drei Anlässen: ein Audit oder eine Begehung, bei der gefragt wurde „Wie regeln Sie den Zutritt?“; ein unangenehmer Vorfall (jemand steht in der Fertigung, und niemand weiß, wer das ist); oder der Wechsel zu einem digitalen Besucherbuch, der dazu zwingt, ein für alle Mal zu entscheiden, welche Daten erhoben werden. In allen drei Fällen ist das Problem dasselbe: Die Regeln existieren, aber sie leben im Kopf der Person am Empfang.
Sie aufzuschreiben ist keine Bürokratie. Es ist der Weg, damit der Empfang, die Urlaubsvertretung, die Abteilungsleitung und die Pforte in der Nachtschicht alle dasselbe tun. Und damit Sie beim nächsten Audit ein Dokument vorlegen können statt „das machen wir normalerweise so“.
Diese Seite ist eine praktische Anleitung zum Schreiben des Dokuments. Wenn Ihre eigentliche Frage lautet, ob ein Besucherbuch Pflicht ist, haben wir das separat behandelt — zusammen mit den anderen Ratgebern rund um das Besucherregister.
Eine Besucherregelung (oft auch Besucherordnung oder Zutrittsregelung genannt) beschreibt den Weg einer externen Person von dem Moment, in dem sie am Eingang erscheint, bis sie das Unternehmen wieder verlässt. Sie ist nicht das Besucherbuch: Das Buch ist die Spur, die Regelung ist die Vorschrift, die sagt, was in der Spur landet und wer sich darum kümmert.
Sie dient vier sehr konkreten Zwecken. Sicherheit: jederzeit wissen, wer im Haus ist, wo und bei wem — um einen Notfall zu bewältigen und zu verhindern, dass sich Fremde in geschützten Bereichen bewegen. Datenschutz: nur die nötigen Daten erheben, den Besucher informieren und nichts länger aufbewahren als erforderlich. Außenwirkung: Ein Empfang, der für alle gleich, geordnet und zügig abläuft, ist der erste Eindruck, den Kunden und Bewerber vom Unternehmen bekommen. Nachweisbarkeit: gegenüber einem Auditor, einem Kunden oder der Versicherung belegen können, dass der Zutritt geregelt ist.
Die Regelung betrifft Gäste im engeren Sinn — Kunden, Bewerber, Berater, Angehörige, Delegationen — und zieht die Grenze zu den anderen externen Personen, für die eigene Regeln gelten.
Das häufigste Risiko ist nicht, eine falsche Regelung zu schreiben, sondern eine zu ehrgeizige: zehn Seiten, Formulare in dreifacher Ausfertigung und ein Ablauf, den niemand einhalten kann. Das richtige Maß ist das, was der Empfang anwendet, ohne darüber nachzudenken.
Eine Regelung funktioniert, wenn jeder Schritt einen Verantwortlichen hat — mit Namen oder zumindest mit klarer Rolle. In KMU sind es fast immer dieselben vier Funktionen.
Gibt die Regelung frei und entscheidet die Grundsatzfragen: Wer darf Besucher empfangen, ist Begleitung Pflicht, welche Bereiche sind gesperrt? Ohne diesen Schritt bleibt die Regelung eine Initiative des Empfangs und wird bei der ersten Ausnahme ignoriert.
Legt fest, welche Informationen der Besucher erhält (Hausregeln, Verhalten im Notfall) und entscheidet gemeinsam mit dem Datenschutzbeauftragten, welche Daten erhoben, wie lange sie aufbewahrt und was in den Datenschutzhinweis geschrieben wird.
Wendet die Regelung jeden Tag an: empfängt, erfasst, gibt den Besucherausweis aus, informiert den Ansprechpartner und schließt den Besuch beim Verlassen ab. Der Empfang muss beim Schreiben mitreden, sonst beschreibt das Dokument einen theoretischen Ablauf statt des tatsächlichen.
Wer den Besuch empfängt, ist während des Aufenthalts für den Gast verantwortlich: holt ihn ab, begleitet ihn, wo nötig, und bringt ihn zurück zum Ausgang. Es ist die am meisten vernachlässigte Rolle — und die, die im Ernstfall am meisten zählt.
Eine Regelung mit diesen vier klar besetzten Rollen deckt 90 % der Fälle ab. An Standorten mit mehreren Toren und Schichten kommen die Nachtpforte oder das Lager hinzu, das Fahrer und Anlieferungen mit einem verkürzten Ablauf abwickelt. Wie sich diese Personen von den eigenen Mitarbeitenden abgrenzen, erklärt der Ratgeber zu Besucherregistrierung und Mitarbeiterzeiterfassung.
Ein verbindliches Format gibt es nicht. In der Praxis enthält eine vollständige und trotzdem lesbare Besucherregelung die folgenden Abschnitte — in der Reihenfolge, in der der Empfang ihnen im Laufe eines Tages begegnet.
| Abschnitt | Inhalt | Wie üblich |
|---|---|---|
| Zweck und Geltungsbereich | Für wen sie gilt (Gäste) und für wen nicht (Fremdfirmen, Mitarbeitende, Kuriere), an welchen Standorten und Zugängen | Unverzichtbar |
| Rollen und Verantwortlichkeiten | Wer empfängt, wer erfasst, wer begleitet, wer über Ausnahmen entscheidet | Unverzichtbar |
| Registrierung | Erhobene Daten, verwendetes Werkzeug (Besucherbuch auf Papier oder digital), Pflichtfelder | Unverzichtbar |
| Identifikation und Besucherausweis | Ob und wie ein Besucherausweis ausgegeben wird, was darauf steht, wann er zurückgegeben wird | Üblich |
| Begleitung und Bereiche | Wo sich der Besucher allein bewegen darf, wo er begleitet wird, welche Bereiche gesperrt sind | Unverzichtbar |
| Informationen für Besucher | Hausregeln, Verhalten im Notfall, Verbote (Fotografieren, Rauchen, PSA, wo erforderlich) | Üblich |
| Datenschutz | Datenschutzhinweis, Rechtsgrundlage, Aufbewahrungsfristen, wer das Besucherbuch einsehen darf | Unverzichtbar |
| Notfall | Wie die Anwesenheitsliste erstellt wird, wer sie zum Sammelplatz bringt, wer die Besucher zählt | Unverzichtbar |
| Verlassen und Abschluss | Check-out, Rückgabe des Ausweises, Schließen der am Tagesende noch offenen Besuche | Üblich |
| Ausnahmen und Überprüfung | Besuche außerhalb der Öffnungszeiten, große Delegationen, wer Abweichungen genehmigt, wie oft das Dokument überprüft wird | Nach Bedarf |
Wenn Sie lieber mit einer Vorlage starten: Das kostenlose Besucherregister-Kit enthält eine DSGVO-Checkliste und Vorlagen für das Besucherbuch, aus denen sich der Abschnitt „Registrierung“ ableiten lässt — die Spalten des Besucherbuchs sind im Grunde die Daten, die die Regelung vorsehen muss.
Das Herzstück der Regelung ist der operative Ablauf: sechs Schritte, immer dieselben, mit je einem Verantwortlichen. Diesen Teil schreiben Sie am besten gemeinsam mit den Menschen am Empfang.
Der Besucher meldet sich an der vorgesehenen Anlaufstelle. Die Regelung sagt, was gilt, wenn der Empfang nicht besetzt ist (Gegensprechanlage, anzurufender Ansprechpartner, Tablet zur Selbstregistrierung).
Die vorgesehenen Daten werden erfasst: Name, Firma, Ansprechpartner, Uhrzeit des Eintreffens. Nicht mehr. In einem digitalen Besucherbuch sind Pflichtfelder wirklich Pflicht, und die Uhrzeit wird automatisch gesetzt.
Der Besucher nimmt den Datenschutzhinweis und die Hausregeln zur Kenntnis. Die Unterschrift auf dem Bildschirm dokumentiert, was wem gezeigt wurde — ohne Zettel, die abgeheftet werden müssen.
Wo vorgesehen, erhält der Besucher einen sichtbaren Ausweis mit Name und Firma. Was darauf gehört und wie er gedruckt wird, erklärt der Ratgeber zum Besucherausweis.
Der interne Ansprechpartner wird informiert und holt den Gast ab. In der Cloud-Version von IRIGuest geht die Benachrichtigung beim Check-in automatisch raus. Ab hier liegt die Verantwortung bei ihm.
Der Besucher gibt den Ausweis zurück, die Uhrzeit des Verlassens wird erfasst. Genau dieser Schritt fehlt auf Papier in jeder zweiten Zeile: Die Regelung muss sagen, wer am Tagesende die offenen Besuche schließt.
Wie sich diese sechs Schritte auf einem Tablet am Empfang konkret umsetzen lassen, zeigt die Seite So funktioniert die Besucherregistrierung. Die Regelung soll nicht die App beschreiben, sondern die Regeln — und die App soll helfen, sie einzuhalten.
Das Besucherbuch enthält personenbezogene Daten. Die Regelung muss deshalb die Fragen beantworten, die die DSGVO an jede Verarbeitung stellt: welche Daten Sie erheben, wozu, wie lange Sie sie aufbewahren, wer sie einsehen darf und wie Sie die betroffene Person informieren. Dafür braucht es kein juristisches Kapitel, sondern fünf klare Antworten.
Die praktische Regel heißt Datenminimierung: Name, Firma, Ansprechpartner und Uhrzeiten genügen fast immer. Ein Ausweisdokument sollten Sie nur verlangen, wenn ein Sicherheitsverfahren es wirklich erfordert — und dann notieren, nicht kopieren. Der Datenschutzhinweis muss kurz sein, am Empfang verfügbar und in einem digitalen Besucherbuch vor der Unterschrift angezeigt werden.
Der heikelste Punkt ist die Einsehbarkeit: In einem Besucherbuch auf Papier sieht, wer sich einträgt, die Namen aller, die vorher da waren. Die Regelung muss vorsehen, dass Besucher das Register nicht einsehen können — auf Papier braucht das Vorkehrungen (Einzelblätter, geschlossenes Buch), auf einem Tablet ist es der Ausgangszustand.
Wenn der Datenschutz Ihre größte Sorge ist: Die Seite zu Besucherbuch und DSGVO geht ins Detail bei Datenschutzhinweis, Einwilligungen und Unterschrift auf dem Bildschirm. Hier genügt der Hinweis, dass die Regelung der Ort ist, an dem diese Entscheidungen ein einziges Mal festgehalten werden.
Im Grunde ist das der Grund, warum es das Besucherbuch überhaupt gibt. Wird evakuiert, muss am Sammelplatz klar sein, wer dort sein müsste — und Besucher stehen in keiner Personalliste. Eine ernst gemeinte Regelung sagt, wer die Anwesenheitsliste ausdruckt oder öffnet, wer sie zum Sammelplatz bringt und wer prüft, dass jeder registrierte Besucher das Gebäude verlassen hat.
Auf Papier ist dieser Schritt fragil: Das Buch liegt am Empfang, der Empfang evakuiert gerade, und Zeilen ohne Uhrzeit des Verlassens sagen nicht, ob die Person noch drinnen ist. In einem digitalen Besucherbuch ist die Liste der noch offenen Besuche jederzeit verfügbar — in der Cloud-Version auch von einem anderen Gerät aus — und abgeschlossene Besuche tauchen darin nicht auf.
Die Regelung muss auch die Rolle des internen Ansprechpartners festlegen: Der Gast im Haus steht in seiner Verantwortung, also führt er ihn zum Sammelplatz und meldet seine Anwesenheit. Das ist eine Zeile im Dokument — aber die Zeile, die in einem echten Notfall den Unterschied macht.
An Produktionsstandorten mit mehreren Eingängen muss die Anwesenheitsliste aus allen Zugängen zusammengeführt werden. Das ist einer der Gründe, warum ab einer gewissen Größe das zentrale Besucherregister, wie es die Seite zum Besuchermanagement in der Produktion beschreibt, kein Luxus ist, sondern eine Notwendigkeit.
Viele Unternehmen schreiben ihre Besucherregelung in der Woche vor einem Audit. Das ist nicht der edelste Anlass, aber ein realistischer — und dann lohnt es sich zu wissen, was je nach Kontext üblicherweise gefragt wird. Die folgenden Angaben sind eine Orientierung: Jedes Zertifizierungsschema hat eigene Anforderungen, und die Bewertung liegt bei der Prüfstelle.
| Kontext | Was in der Regel gefragt wird | Was Sie vorlegen |
|---|---|---|
| ISO/IEC 27001 und TISAX (Informationssicherheit, Automobilzulieferer) | Kontrolle des physischen Zutritts zu Sicherheitsbereichen: wer wann hereinkam, ob begleitet wurde, wie Besucher gekennzeichnet sind (ISO 27001:2022, Anhang A, Maßnahme 7.2; VDA ISA-Katalog zur physischen Sicherheit) | Schriftliche Regelung, einsehbares Besucherbuch, nach Datum durchsuchbare Historie |
| ISO 9001 / IATF 16949 (Qualität, Automotive) | Schreiben kein Besucherbuch vor; in Audits — vor allem Kundenaudits — wird aber geprüft, wie der Zutritt zu den Bereichen geregelt ist und wie Produkt und Informationen geschützt werden | Regelung, Nachweis der Begleitung, Besucherbuch |
| BRCGS / IFS (Lebensmittelsicherheit) | Kontrollierter Zutritt von Besuchern und Fremdfirmen zu Produktionsbereichen; Kenntnisnahme der Hygiene- und Verhaltensregeln | Registrierung mit Unterschrift unter die Regeln, Regelung, Ausweis oder Kennzeichnung |
| ISO 45001 und Arbeitsschutz (ArbSchG, DGUV) | Information externer Personen über die Gefahren am Standort, Notfallorganisation unter Berücksichtigung anwesender Dritter, Zusammenarbeit mit Fremdfirmen | Am Empfang ausgehändigte Informationen, Anwesenheitsliste, Räumungsregelung |
| DSGVO (Datenschutz) | Rechtsgrundlage, Informationspflichten, Datenminimierung, Speicherfristen, wer Zugriff auf die Daten hat | Datenschutzhinweis, Verzeichnis von Verarbeitungstätigkeiten, Löschregelung |
| Kunde oder Versicherung (Lieferantenaudit) | Wer kommt herein, wann, wer ist verantwortlich; manchmal auch, wer an einem bestimmten Datum Zugang zu einem Bereich hatte | Einsehbare und exportierbare Historie |
Die gute Nachricht: Auditoren fragen fast immer nach denselben drei Dingen — dem Dokument, der Spur und einem Beleg, dass die Spur genutzt wird („Zeigen Sie mir, wer am 12. März im Haus war?“). Mit einem Besucherbuch auf Papier heißt die dritte Frage blättern; mit einem digitalen Besucherbuch heißt sie suchen.
Besucherregelungen scheitern fast immer aus denselben Gründen — und fast nie, weil eine Vorschrift zum Zitieren gefehlt hätte.
Was Regelungen auszeichnet, die funktionieren
Woran sie scheitern
Den Vergleich der Werkzeuge — Papier, Excel oder Tablet — finden Sie im Ratgeber Besucherbuch, Excel oder digital. Es lohnt sich, ihn vor dem Abschnitt „Registrierung“ zu lesen: Das Werkzeug bestimmt, was die Regelung realistischerweise verlangen kann.
Ein Gerüst, das Sie an Ihr Unternehmen anpassen. Jeder Punkt entspricht einem Absatz im Dokument: Wenn Sie zu jedem zwei oder drei Zeilen schreiben können, ist die Regelung fertig.
Zehn Absätze, darunter Datum und Unterschrift der Geschäftsführung. Wird das Dokument länger als drei Seiten, beschreibt es fast sicher die App oder wiederholt Gesetzestexte — beides ist anderswo besser aufgehoben.
Eine gut geschriebene Regelung verlangt dem Empfang wenig ab — aber das immer. Genau an diesem Punkt gibt das Besucherbuch auf Papier nach: die fehlende Uhrzeit des Verlassens, der unleserliche Name, der Datenschutzhinweis, den niemand hat unterschreiben lassen. Ein digitales Besucherbuch ändert die Regeln nicht; es macht sie zum einfachsten Weg. Pflichtfelder bleiben Pflicht, der Datenschutzhinweis erscheint vor der Unterschrift, die Uhrzeit wird automatisch gesetzt, und die Anwesenheitsliste ist immer griffbereit.
Mit IRIGuest sind die Fragen der Registrierung anpassbar, Einwilligungen werden auf dem Bildschirm unterschrieben, und Besucher können das Register nicht einsehen. Für einen einzelnen Empfang genügt die kostenlose Version; die Cloud-Version ergänzt automatische Benachrichtigungen an den Ansprechpartner, die Voranmeldung per QR-Code und eine gemeinsame Historie über mehrere Zugänge und Standorte hinweg.
Was das Besucherbuch nicht tut, der Klarheit halber: Es öffnet keine Drehkreuze oder Schranken, prüft keine Dokumente von Fremdfirmen, unterweist keine externen Beschäftigten und ersetzt nicht die Zeiterfassung der Mitarbeitenden. Es tut eine einzige Sache, und die immer auf dieselbe Weise: Es erfasst, wer kommt und wer geht — so, wie die Regelung es vorsieht. Der größere Zusammenhang, in den es gehört, ist die digitale Rezeption.
Rechtliche und technische Verweise zum Vertiefen. Diese Seite dient der Information und ersetzt weder eine Rechtsberatung noch den Rat der Fachkraft für Arbeitssicherheit oder des Datenschutzbeauftragten.
Keine deutsche Vorschrift verlangt ein Dokument mit dem Namen „Besucherregelung“. Es gibt aber Pflichten, die sie faktisch zum einfachsten Weg der Erfüllung machen: Notfallmaßnahmen, die auch anwesende externe Personen berücksichtigen (§ 10 ArbSchG), die Zusammenarbeit mit Fremdfirmen (§ 8 ArbSchG, DGUV Vorschrift 1) und der korrekte Umgang mit Besucherdaten nach DSGVO. Und viele Zertifizierungsschemata, allen voran ISO 27001 und TISAX, erwarten, dass der physische Zutritt geregelt und nachvollziehbar ist. Vertieft wird das Thema im Ratgeber zur Frage, ob ein Besucherbuch Pflicht ist.
Zwei bis drei Seiten. Eine längere Regelung beschreibt meist das Werkzeug statt der Regeln oder wiederholt Gesetzestexte. Halten Sie das Dokument kurz und ergänzen Sie es um eine Kurzfassung — zehn Zeilen — für den Empfang.
Das Minimum, das der Zweck erfordert: Vor- und Nachname, Firma, Ansprechpartner, Uhrzeit des Kommens und Gehens. Besuchsgrund und Kfz-Kennzeichen nur, wenn sie wirklich gebraucht werden; ein Ausweisdokument nur, wenn ein Sicherheitsverfahren es verlangt — und dann notieren statt kopieren. Jedes Feld mehr kostet Zeit am Empfang und ist ein Datum mehr, das geschützt werden muss.
Das hängt davon ab, was Sie verlangen. Der Datenschutzhinweis muss zur Verfügung gestellt werden; wenn Sie dokumentieren möchten, dass er gezeigt wurde, ist die Unterschrift der einfachste Weg. Dasselbe gilt für die Kenntnisnahme der Hausregeln, die in Produktions- und Lebensmittelbetrieben fast immer verlangt wird. Mit IRIGuest wird die Unterschrift auf dem Bildschirm erfasst und bleibt mit der Registrierung verknüpft.
Die Regelung muss das ausdrücklich vorsehen, denn in KMU ist es der häufigste Fall. Typische Lösungen sind ein Tablet zur Selbstregistrierung am Eingang, eine Gegensprechanlage mit Liste der Ansprechpartner oder die Pflicht des Ansprechpartners, den Gast selbst abzuholen. Was nicht funktioniert: die Entscheidung demjenigen zu überlassen, der gerade vorbeikommt.
Er ist während des gesamten Besuchs für den Gast verantwortlich: Er holt ihn ab, begleitet ihn in Bereichen, die er nicht allein betreten darf, führt ihn im Notfall zum Sammelplatz und bringt ihn zurück zum Ausgang, wo der Check-out erfasst wird. Die Regelung muss das schriftlich festhalten, denn es ist die Rolle, die alle für selbstverständlich halten und die nie jemand gelesen hat.
Besser eine Regelung für die ganze Gruppe mit einem Anhang je Standort: Die Regeln (erhobene Daten, Datenschutz, Rollen, Notfall) sind überall gleich, nur Zugänge, Zeiten und Ansprechpartner ändern sich. Auf der Werkzeugseite erlaubt die Cloud-Version von IRIGuest, dieselbe Konfiguration an allen Standorten zu nutzen und eine gemeinsame Historie einzusehen.
In der Regel, dass der physische Zutritt zu geschützten Bereichen kontrolliert wird: Wer hereinkommt, muss identifiziert, mit Datum und Uhrzeit erfasst und, wo nötig, begleitet werden. Er möchte die Regelung, das Besucherbuch und einen Beleg sehen, dass das Buch auswertbar ist — etwa wer an einem bestimmten Tag Zutritt zu einem bestimmten Bereich hatte. Die endgültige Bewertung liegt in jedem Fall bei der Prüfstelle.
Die DSGVO nennt keine feste Frist: Sie verlangt, dass der Zeitraum nach dem Zweck bestimmt, im Datenschutzhinweis genannt und eingehalten wird. Viele Unternehmen arbeiten mit einigen Monaten für gewöhnliche Gäste und längeren Fristen für sicherheitsrelevante Zutritte. Entscheidend ist, die Frist in der Regelung festzulegen und zu bestimmen, wer die Daten nach Ablauf löscht.
Ja, für einen einzelnen Empfang: Die kostenlose Version arbeitet offline, ohne Zeitlimit, mit anpassbaren Fragen, Datenschutzhinweis und Unterschrift auf dem Bildschirm, in fünf Sprachen und mit CSV-Export. Automatische Benachrichtigungen an den Ansprechpartner, die Voranmeldung per QR-Code, ein gemeinsames Register über mehrere Zugänge und Standorte sowie zentrale Reports sind Funktionen der Cloud-Version.
Testen Sie IRIGuest kostenlos an Ihrem Empfang oder sehen Sie in zwei Minuten, wie ein Besucher registriert wird. Ohne Installation, ohne Verpflichtung.
