Ob ein Fremder in Ihrer Fertigung steht, entscheidet sich selten am Drehkreuz, sondern am Empfang, beim Kollegen, der den Besuch erwartet, und an der Tür zur Halle. Zutrittskontrolle für Besucher ist deshalb zuerst ein Ablauf: Freigabe, Identifikation, Ausweis, Begleitung, Abmeldung. Türen, Kartenleser und Drehkreuze sind mögliche Werkzeuge, keine Voraussetzung. Dieser Leitfaden zeigt, wie Sie den Zutritt verhältnismäßig regeln, was DSGVO, NIS2 und ISO/IEC 27001 tatsächlich verlangen und wo ein Register wie IRIGuest hilft, das selbst keine Türen öffnet.
Kurz gesagt
Zutrittskontrolle für Besucher ist die Summe der Entscheidungen und Kontrollen, mit denen ein Unternehmen regelt und überprüft, wer von außen hereinkommt, wer den Besuch freigegeben hat und für ihn verantwortlich ist, wohin und wann die Person gehen darf – und ob sie das Gelände wieder verlassen hat. Sie ist in erster Linie ein Prozess; Türen und Drehkreuze sind nur eines der möglichen Werkzeuge.
Für die meisten KMU genügen ein benannter Gastgeber (der interne Ansprechpartner), ein Register mit Kommen und Gehen, ein sichtbarer, nummerierter Besucherausweis, Begleitung außerhalb der öffentlichen Bereiche und klar gezogene Zonen. Technik kommt dort hinzu, wo eine Zone sie rechtfertigt. Ein Register wie IRIGuest deckt den Teil „wer, zu wem, wann, noch im Haus?“ ab – Türen öffnet es keine.
Die Lücken kennt jeder, der einen Betrieb führt: die Tür zur Halle, die jemand freundlich aufhält; der Satz „Der kennt den Weg“; der Besucher, den ein Staplerfahrer zwischen den Regalen findet und niemand zuordnen kann. Dazu kommen Fragen von außen: Kunden und Auditoren wollen wissen, wie Sie den Zutritt von Besuchern regeln, und seit NIS2 stehen dieselben Fragen in Lieferantenfragebögen.
Und es gibt ein Begriffsproblem. Bei „Zutrittskontrolle“ denken die meisten an Kartenleser und Drehkreuze für die eigene Belegschaft. Viele sagen auch Zugangskontrolle, doch im Sicherheits- und Datenschutzvokabular meint Zutritt das Betreten von Gebäuden und Räumen, Zugang die Anmeldung an IT-Systemen und Zugriff die Berechtigung auf Daten. Hier geht es um den Zutritt der Menschen ohne eigene Karte, und zwar zuerst um Entscheidungen, nicht um Geräte.
Sie finden hier die Kette vom Termin bis zum Ausgang, Zonen, Ausweiskontrolle, Besucherausweise, Risiken, den Notfall, ein Stufenmodell nach Unternehmenstyp, die Grenzen bei Video und Biometrie und das, was DSGVO, NIS2, ISO/IEC 27001 und Arbeitsschutz wirklich verlangen – geschrieben für Inhaber, Facility-Manager, Sicherheitsfachkräfte und Informationssicherheitsbeauftragte. Rechtsstand: Oktober 2026.
Hinter jeder Zutrittskontrolle für Besucher stehen vier Fragen. Wer ist diese Person? Wer hat den Besuch freigegeben und ist für sie verantwortlich? Wohin darf sie, und bis wann? Ist sie noch im Haus? Wer alle vier jederzeit beantworten kann, hat den Zutritt im Griff, mit oder ohne Drehkreuz.
Für die Antworten gibt es zwei Werkzeuge. Das Besuchermanagement – Register, Gastgeber, Besucherausweis, Begleitung, Hausregeln – weiß, wer kommt, von welcher Firma, zu wem, warum und wann er geht. Ein Zutrittskontrollsystem weiß, dass eine Karte um 10:14 Uhr an Tür 3 akzeptiert wurde – nicht aber, wer sie trägt, wer den Besuch eingeladen hat oder wer ohne Buchung durch eine offene Tür ging. Das Register wiederum hält niemanden körperlich auf.
| Merkmal | Besuchermanagement | Zutrittskontrollsystem |
|---|---|---|
| Beantwortet | Wer, von welcher Firma, zu wem, warum, wann gekommen und gegangen | Welches Medium welche Tür zu welcher Zeit öffnen durfte |
| Betrifft vor allem | Besucher, Lieferanten, Fahrer, Bewerber, Auditoren | Mitarbeitende und andere Dauerberechtigte mit eigener Karte |
| Typische Werkzeuge | Register, Gastgeber, Besucherausweis, Begleitung, Hausregeln | Kartenleser, Transponder, elektronische Schlösser, Drehkreuze, Schranken |
| Was es nicht leistet | Niemanden physisch aufhalten | Zweck, Gastgeber und bestätigte Regeln kennen; erkennen, wer ohne Buchung hereinkam |
Daraus folgt eine einfache Arbeitsteilung: Besucher werden immer registriert, eine Zutrittskarte bekommen sie nur für gesicherte Türen. Für die eigene Belegschaft gelten andere Werkzeuge, denn Arbeitszeiterfassung ist kein Besucherregister – den Unterschied erklärt der Ratgeber zu Besucherregistrierung und Mitarbeiterzeiterfassung.
Ein Besuch durchläuft acht Kontrollpunkte. Jeder ist eine Entscheidung, die eine bestimmte Person trifft, und jeder hat seine typische Schwachstelle – meist dort, wo sich niemand zuständig fühlt.
Der Gastgeber trägt den Besuch vorher in eine Liste ein, die der Empfang sieht. Für Unangemeldete gilt: erst den Gastgeber anrufen, dann alles Weitere. Typische Schwachstelle: Spontanbesuche werden wie erwartete Gäste behandelt, und der Empfang improvisiert.
Ab der Anmeldung ist ein benannter Gastgeber verantwortlich: ohne Gastgeber kein Zutritt über den Empfang hinaus. Ist er nicht erreichbar, übernimmt eine Vertretung, oder der Besucher wartet. Typische Schwachstelle: „Er kennt den Weg, er kann allein hochgehen.“
Name und Firma werden mit der Liste der erwarteten Besucher abgeglichen; ein Ausweisdokument nur, wo das Risiko es rechtfertigt, und dann ansehen statt kopieren. Typische Schwachstelle: Warnweste und Klemmbrett öffnen jede Tür, Ausweiskopien liegen jahrelang in der Schublade.
Für alle Besucher einer Kategorie dieselben wenigen Felder: Name, Firma, Gastgeber, Uhrzeit. Der Datenschutzhinweis liegt am Eingang bereit, fremde Einträge liest niemand. Typische Schwachstelle: zwölf Felder, in Eile mit Unsinn gefüllt, und ein offenes Buch, in dem jeder die Namen der Besucher vor ihm liest.
Sichtbar getragen, nummeriert, mit Datum; die Nummer steht im Register. So erkennt jeder den Besucher, und abends lässt sich zählen, ob alle Ausweise zurück sind. Typische Schwachstelle: eine Kiste gleicher Ausweise ohne Nummer – wie viele unterwegs sind, weiß niemand.
Vor dem Weitergehen erfährt der Besucher das Wesentliche: Notausgänge, Sammelplatz, Alarmton, gesperrte Bereiche, Foto- und Handyregel, PSA, wo nötig. Die Kenntnisnahme wird festgehalten. Typische Schwachstelle: vier Seiten Juristendeutsch, nur auf Deutsch und ohne Nachweis, dass sie je gezeigt wurden.
Festgelegt ist, wohin der Besucher allein darf und wohin nur begleitet. Die Begleitpflicht endet nicht an der Tür des Besprechungsraums. Typische Schwachstelle: Der Gast geht kurz allein zur Toilette und steht zehn Minuten später im Lager.
Erst die Abmeldung schließt den Besuch ab: Der Gastgeber begleitet zum Ausgang, der Ausweis kommt zurück, abends prüft jemand die offenen Besuche. Typische Schwachstelle: Die Abmeldung fehlt, offene Besuche häufen sich, und die Anwesenheitsliste taugt im Ernstfall nichts.
Halten Sie diese acht Punkte schriftlich fest, je Schritt mit einem Verantwortlichen und so knapp, dass der Empfang sie montags um acht einhält. Wie Sie daraus eine Besucherregelung schreiben, zeigt ein eigener Ratgeber.
Eine Zone gibt es nur mit einer sichtbaren Grenze (Tür, Tor, Bodenmarkierung, Schild), einer Regel (wer darf hinein, allein oder begleitet) und jemandem oder etwas, das sie durchsetzt: Schloss, Leser, Person oder Kollegen, die nachfragen. Zeichnen Sie die Zonen auf einen Lageplan im A4-Format und verwenden Sie ihre Farben auch auf den Besucherausweisen.
AußenbereichParkplatz, Hof, Zufahrt, Tor
Ein ausgeschilderter Besuchereingang; alle anderen Türen sind von außen geschlossen und von innen jederzeit zu öffnen.
EmpfangEingangsbereich, Wartezone
Anmeldung, Gastgeber rufen, Besucherausweis ausgeben. Warten ohne Begleitung erlaubt; keine Unterlagen oder entsperrten Bildschirme in Sichtweite.
BürobereichBüros, Besprechungsräume, Flure
Ausweis sichtbar tragen, Begleitung hin und zurück, Besprechungsräume nah am Eingang, aufgeräumte Schreibtische und gesperrte Bildschirme.
Produktion und LagerFertigung, Lager, Versand, Werkstatt
Unterweisung und PSA vor dem Betreten, immer begleitet, Fahrer bleiben an der Rampe, Fotoregel; der besuchte Bereich wird erfasst.
SicherheitsbereicheServerraum, Labor, Entwicklung, Archiv, Kasse
Verschlossen (Schlüssel, Code oder Karte), nur benannte Mitarbeitende; Besucher nur mit Freigabe des Bereichsverantwortlichen und in Begleitung, jeder Zutritt im Zutrittsprotokoll festgehalten.
Nicht jeder Besucher darf überall hin; eine Matrix legt fest, was für welche Kategorie in welcher Zone gilt. Zwei Grundsätze: Vertrautheit ist keine Freigabe – auch der langjährige Lieferant wird registriert –, und Rettungskräfte hält niemand mit einer Anmeldung auf; der Empfang trägt sie nachträglich ein. Bei Lkw-Fahrern meint „Begleitet“ in der Spalte Produktion und Lager nur die Laderampe und den Wartebereich für Fahrer. Behördliche Prüfer mit gesetzlichem Betretungsrecht, etwa der Gewerbeaufsicht oder der Berufsgenossenschaft, werden nicht aufgehalten: Dienstausweis prüfen, den Verantwortlichen sofort informieren, begleiten; „Mit Freigabe“ heißt hier nur, dass der Bereichsverantwortliche mitgeht.
| Besucher | Empfang | Büros | Produktion und Lager | Sicherheitsbereiche |
|---|---|---|---|---|
| Gast oder Kunde | Frei | Begleitet | Begleitet | Mit Freigabe |
| Lieferant oder Vertreter | Frei | Begleitet | Begleitet | Nein |
| Kurier oder Paketbote | Frei | Nein | Nein | Nein |
| Lkw-Fahrer | Frei | Nein | Begleitet | Nein |
| Bewerber | Frei | Begleitet | Nein | Nein |
| Auditor oder Prüfer | Begleitet | Begleitet | Begleitet | Mit Freigabe |
Ein Sonderfall sind Firmen, die zum Arbeiten kommen: oft tagelang, in den Zonen 4 und 5, mit Abstimmung zur Arbeitssicherheit vor der Ankunft. Dafür gibt es den Ratgeber zum Zutritt von Fremdfirmen und Lieferanten. Und in Gebäuden mit mehreren Mietern betreibt zwar die Hausverwaltung die Drehkreuze der Lobby, ein eigenes Register und einen Gastgeber je Besuch braucht Ihr Unternehmen aber trotzdem.
Bei der Zutrittskontrolle am Empfang genügt für die meisten Besuche, was der Zweck verlangt: Name, Firma, Gastgeber, Anlass, das Kfz-Kennzeichen nur, wenn Sie Hof oder Parkplatz verwalten. Ein Ausweisdokument ist angebracht, wo das Risiko es rechtfertigt – Sicherheitsbereiche, Besuche außerhalb der Geschäftszeiten, Standorte mit hohen Werten. Dann gilt: Dokument ansehen, Name und Foto abgleichen, „Ausweis geprüft“ vermerken. Nicht kopieren, nicht fotografieren, keine Ausweisnummer notieren.
In Deutschland kommt das Personalausweisgesetz hinzu: Nach § 1 Abs. 1 PAuswG darf niemand verlangen, dass der Inhaber seinen Personalausweis hinterlegt; „Ausweis gegen Besucherausweis“ scheidet als Zutrittsbedingung also aus. Kopien erlaubt § 20 Abs. 2 PAuswG nur durch den Inhaber oder mit seiner Zustimmung, dauerhaft als Kopie erkennbar. Für Österreich und die Schweiz gelten eigene Regeln. Unangemeldete Techniker prüfen Sie per Rückruf bei ihrer Firma unter einer Nummer aus Ihren eigenen Unterlagen, nie unter der auf dem Auftragszettel.
Manche Systeme führen Sperrlisten, etwa für Personen mit Hausverbot. Das geht nur mit tragfähiger Rechtsgrundlage, korrekten Einträgen und kurzer Speicherdauer, bei Straftaten zudem nur unter den engen Bedingungen von Art. 10 DSGVO. IRIGuest hat keine solche Funktion. Und eine Visitenkarte beweist keine Identität: Drucken lassen kann sie jeder.
Den Datenschutzhinweis braucht der Besucher am Eingang, bevor er Daten angibt. Rechtsgrundlage ist in aller Regel das berechtigte Interesse, nicht die Einwilligung: Ein Pflichtschritt, ohne den niemand hereinkommt, ist nicht freiwillig. Wie Hinweis und Rechtsgrundlage aussehen, erklärt die Seite zu Besucherbuch und DSGVO.
Ein Besucherausweis, in der Schweiz meist Badge genannt, macht den Besucher erkennbar. Kontrollieren kann er erst etwas, wenn jemand hinsieht oder ein Leser ihn prüft. Die richtige Form hängt also davon ab, wer oder was am Ende darauf achtet.
| Ausweisart | Stärken | Grenzen | Wann sinnvoll |
|---|---|---|---|
| Tagesaufkleber aus Papier | Günstig, schnell, mit Datum | Leicht zu kopieren; hält schlecht auf Arbeitskleidung | Geringes Risiko, viele kurze Besuche |
| Nummerierter Ausweis mit Band | Von Weitem sichtbar, günstig, abends leicht zu zählen; die Farbe kann Zonen anzeigen | Anonym, solange die Nummer nicht im Register steht | Der Standard für die meisten KMU |
| Ausweis mit QR-Code | Kennung in scanbarer Form; der Code enthält nur eine Nummer, keine personenbezogenen Daten | Bewirkt nichts ohne Lesegerät oder Menschen, die hinsehen; jedes Handy liest den Code | Standorte, an denen ein Lesegerät den Code prüft; sonst wie ein nummerierter Ausweis |
| Befristete RFID-Karte | Öffnet nur die Türen ihres Profils im Zeitfenster; jede Buchung wird protokolliert | Nur mit Zutrittskontrollsystem; wird sie weder zurückgegeben noch gesperrt, bleibt sie ein gültiger Schlüssel | Standorte mit Zutrittskontrollsystem, mehrtägige Einsätze |
| QR-Code auf dem Handy | Nichts Physisches, gut für Voranmeldung und schnelle Anmeldung | Auf dem Flur unsichtbar; hängt am Akku | Anmeldung, plus sichtbarer Ausweis vor Ort |
| Kein Ausweis, nur Begleitung | Kein Verwaltungsaufwand | Kein sichtbarer Unterschied zum Personal; endet, sobald der Gastgeber weggerufen wird | Kleinstbüros und Kanzleien |
Abends zählt der Empfang die Ausweise. Fehlt einer, zeigt die Nummer im Register den zugehörigen Besuch; ein verlorener Sichtausweis wird als ungültig vermerkt, eine verlorene Zutrittskarte sofort im Zutrittskontrollsystem gesperrt. Gestaltung und Druck behandelt der Ratgeber zum Besucherausweis; nummerierte Ausweise mit QR-Code erstellt der kostenlose Badge-Generator. Mit der Cloud-Version von IRIGuest liest das Tablet den QR-Code des Ausweises bei der Anmeldung und bei der Abmeldung.
Für jede Maßnahme lohnen sich drei Fragen: Was verhindert sie? Wer prüft sie? Was passiert, wenn sie versagt? Maßnahmen, die niemand prüft – Ausweisscans ohne Abgleich, Ausweise, auf die keiner schaut, Geheimhaltungsvereinbarungen über vier Seiten –, sind Sicherheitstheater – sie beruhigen, ohne zu schützen.
Meist ist es Höflichkeit: Jemand hält die Tür auf, ein Fremder geht mit. Es helfen ein einziger Besuchereingang, Türschließer, ein Empfang mit Blick auf die Tür und ein Satz, den jeder sagen darf: „Entschuldigung, hier braucht jeder seine eigene Karte.“ Drehkreuze oder Vereinzelungsanlagen nur, wo das Risiko sie rechtfertigt.
Warnweste, Klemmbrett, sicheres Auftreten: So kommt man in viele Betriebe. Über den Empfang hinaus geht niemand ohne Bestätigung des Gastgebers. Unangemeldete Techniker prüfen Sie per Rückruf bei ihrer Firma, unter Ihrer eigenen Nummer; Kuriere geben am Empfang oder an der Rampe ab.
Der Gastgeber steckt in einer Besprechung, der Gast wird ungeduldig und geht los – in die Fertigung, ohne PSA und Unterweisung. Der Gastgeber holt am Empfang ab und bringt zurück. Und jeder darf fragen: „Kann ich Ihnen helfen?“ Wer nachfragt, wird nie kritisiert.
Die meisten Fotos sind harmlos. Legen Sie pro Zone fest, ob fotografiert werden darf, decken Sie Prototypen ab und verlangen Sie Geheimhaltungsvereinbarungen nur bei sensiblen Besuchen. Nach der EU-Richtlinie 2016/943, in Deutschland umgesetzt im Geschäftsgeheimnisgesetz, ist eine Information nur geschützt, wenn angemessene Geheimhaltungsmaßnahmen getroffen wurden; Besucherregeln können dazugehören.
Ein entsperrter Bildschirm im Besprechungsraum, eine aktive Netzwerkdose im Foyer, ein Stick „nur für die Präsentation“: So gelangen fremde Geräte ins Firmennetz. Bildschirme sperren automatisch, Gäste nutzen ein eigenes WLAN, Dosen in öffentlichen Bereichen sind abgeschaltet, fremde USB-Sticks tabu.
Meist vergessen, selten Absicht. Die Nummer steht im Register, abends wird gezählt, ein fehlender Ausweis wird als ungültig vermerkt. Ist er zugleich Zutrittskarte, wird er sofort gesperrt – im Zutrittskontrollsystem, nicht im Besucherregister. Datierte Ausweise oder Tagesfarben verlieren abends von selbst ihren Wert.
Und wenn doch jemand ohne Ausweis und Gastgeber im Haus steht? Freundlich ansprechen, zum Empfang begleiten, im Register nachsehen. Weicht die Person aus: nicht festhalten, Abstand wahren, Beschreibung merken, Vorgesetzte informieren, bei Gefahr die Polizei rufen. Danach klären, wie sie hereinkam, oft über einen Eingang ohne Personal; was ein Besucherterminal für den Self-Service-Empfang dort leistet, erklärt ein eigener Ratgeber.
Besucher stehen in keiner Personalliste und kennen weder Notausgänge noch Sammelplatz. Die Rettungskräfte brauchen eine Antwort: Fehlt jemand, und wer? Die offenen Besuche – angemeldet, noch nicht abgemeldet – sind genau diese Liste. Mit der kostenlosen Version von IRIGuest steht sie auf dem Tablet, mit der Cloud-Version lässt sie sich auch auf einem anderen Gerät öffnen.
Verlässlich wird die Liste nur durch Disziplin beim Gehen: Abmeldung dort, wo der Ausweis zurückkommt; der Gastgeber begleitet bis zum Ausgang, nicht bis zum Aufzug; abends prüft jemand die offenen Besuche und ruft den Gastgeber an, bevor er einen davon von Hand schließt. Mehrere Eingänge gehören in ein Register. Und die Liste darf nicht nur am Empfang liegen: Benennen Sie eine Person, die sie mitnimmt – bei der kostenlosen Version das geladene Tablet –, und eine Vertretung.
Die Rahmenrichtlinie 89/391/EWG (Art. 8 Abs. 1) verlangt, bei Erster Hilfe, Brandbekämpfung und Evakuierung auch andere anwesende Personen zu berücksichtigen; in Deutschland setzt das § 10 ArbSchG um, Flucht- und Rettungsplan und Räumungsübungen behandelt die ASR A2.3. Eine bestimmte Liste schreibt keine dieser Vorschriften vor. Eine Frage nach Hilfebedarf bei der Räumung bleibt freiwillig und ohne Gesundheitsangaben. Bei Netz- oder Akkuausfall: Einzelzettel in einer verschlossenen Box, nie eine offene Liste.
In Werken mit Fahrern, Instandhaltern und mehreren Toren wird die Anwesenheitsliste zur eigentlichen Herausforderung – ein Kernthema beim Besuchermanagement in der Produktion.
Wie viel Kontrolle angemessen ist, entscheidet das Risiko Ihrer empfindlichsten Zone, nicht der Katalog eines Herstellers. Ein Steuerbüro braucht anderes als ein Werk mit drei Toren und eigener Entwicklung. Ein Zutrittsmanagement mit Workflows und Schnittstellen lohnt sich meist erst bei mehreren Standorten oder echten Sicherheitsbereichen. Die Tabelle ist eine Orientierung, kein Normtext.
| Unternehmenstyp | Hauptrisiko | Was genügt | Wann Technik dazukommt |
|---|---|---|---|
| Büro oder Kanzlei, ein Eingang | Vertraulichkeit von Akten und Gesprächen | Klingel oder verschlossene Tür, Register, immer Begleitung | Selten: allenfalls ein elektronisches Schloss am Aktenraum |
| Produktion oder Logistik, ein Tor | Sicherheit in der Halle, Personen im Notfall, Diebstahl, Know-how | Getrennte Wege für Besucher und Lkw, Unterweisung, nummerierte Ausweise, Begleitung, Abendkontrolle | Ein elektronisches Schloss an Serverraum oder Entwicklung, lange vor jedem Drehkreuz |
| Mehrere Standorte oder Eingänge | Uneinheitliche Praxis, kein gemeinsamer Blick auf die Anwesenden | Eine Regel für alle Standorte, ein zentrales Register mit gemeinsamer Anwesenheitsliste | Wo ein Zutrittskontrollsystem läuft: befristete Karten für Besucher |
| Sensible Bereiche, ISO 27001, NIS2 | Unbefugter Zutritt zu Systemen und Informationen, Feststellungen im Audit | Formales Zonenmodell, Ausweisprüfung, Freigabe des Bereichsverantwortlichen, Begleitung, regelmäßige Überprüfung | Zutrittskontrollsystem mit befristeten Karten; das Register bleibt für Zweck und Gastgeber nötig |
| Schule oder Behörde | Schutz von Kindern, Trennung von Publikum und Verwaltung | Offener Publikumsbereich, geschlossene Verwaltung; fremde Erwachsene werden registriert, gekennzeichnet und begleitet | Selten: elektronische Schlösser für Verwaltung und Technikräume |
Ein Drehkreuzprojekt bedeutet Planung, Brandschutzabstimmung, Installation und Wartung; ein sauberer Ablauf kostet vor allem Entscheidungen. Der Plan für die ersten 30 Tage: Zonenplan, Kategorien, Gastgeberregel, nummerierte Ausweise, Abendkontrolle, Test bei der nächsten Übung. Womit Sie bei der Software rechnen müssen, zeigt der Ratgeber zu den Kosten einer Besucherverwaltungssoftware.
Für jedes Besucherregister gelten dieselben Grundregeln der DSGVO: das berechtigte Interesse als Rechtsgrundlage (Art. 6 Abs. 1 lit. f) mit dokumentierter Abwägung, nur die nötigen Daten (Art. 5 Abs. 1 lit. c), Information bei der Erhebung, auch gestuft (Art. 13). Ein täglich geführtes Register gehört auch im KMU ins Verzeichnis von Verarbeitungstätigkeiten; die Ausnahme des Art. 30 Abs. 5 greift bei nicht nur gelegentlicher Verarbeitung nicht. Verlauf und Exporte sieht nur, wer sie braucht; CSV-Exporte der kostenlosen Version gehören in einen geschützten Ordner.
Eine Kamera am Eingang ist eine eigene Verarbeitung mit eigenem Zweck und eigener Frist und ersetzt das Register nicht: Sie zeigt nicht, wer noch im Haus ist. Das Hinweisschild hängt vor dem überwachten Bereich, die vollständigen Informationen liegen am Empfang (Leitlinien 3/2019 des EDSA). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; 72 Stunden Speicherung hält die Datenschutzkonferenz in der Regel für ausreichend. Richten Sie keine Kamera auf das Anmeldetablet. Sind Mitarbeitende im Bild, bestimmt ein vorhandener Betriebsrat mit (§ 87 Abs. 1 Nr. 6 BetrVG); in Österreich braucht eine Überwachung, die die Menschenwürde berührt, seine Zustimmung (§ 96 Abs. 1 Z 3 ArbVG).
Fingerabdrücke und Gesichtsbilder, die mit speziellen technischen Mitteln zur eindeutigen Identifizierung verarbeitet werden, sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), deren Verarbeitung ohne Ausnahmetatbestand verboten ist. Stützt sich ein biometrischer Zutritt auf Einwilligungen, verlangt der Europäische Datenschutzausschuss zudem eine Alternative ohne Biometrie, etwa Ausweis oder Schlüssel – für einmalige Besucher also zwei Systeme ohne echten Gewinn. Die Unterschrift auf dem Tablet ist ein Bild als Nachweis, keine biometrische Unterschrift.
Die Frist für die Aufbewahrung von Besucherdaten nach DSGVO legen Sie je Zweck fest (Art. 5 Abs. 1 lit. e DSGVO) und nennen sie im Datenschutzhinweis. Mit der Cloud-Version von IRIGuest werden die Daten nach Ablauf dieser Frist automatisch gelöscht; in der kostenlosen Version löschen Sie sie selbst nach Ihrem internen Verfahren.
Das EU-Recht ist technikneutral: Es verlangt geeignete, verhältnismäßige und nachweisbare Maßnahmen, nie ein bestimmtes Werkzeug – kein Drehkreuz, keine Software, kein Ausweisformat. Eine allgemeine EU-Pflicht zum Besucherregister gibt es nicht. Anforderungen entstehen aus Risikomanagement, Arbeitsschutz, der Rechenschaftspflicht der DSGVO oder einer Zertifizierung, die Sie selbst anstreben.
| Regelwerk | Was es zum physischen Zutritt verlangt | Für wen es gilt |
|---|---|---|
| DSGVO | Keine Zutrittsregeln, aber Regeln für jede Erfassung: Rechtsgrundlage, Datenminimierung, Information, Speicherbegrenzung | Jedes Unternehmen, das Besucher erfasst |
| NIS2 und BSIG (§ 30) | Risikomanagement nach einem gefahrenübergreifenden Ansatz, laut Richtlinie auch für die physische Umwelt der IT; Ziele, keine Technik | Wichtige und besonders wichtige Einrichtungen; in Österreich das NISG 2026 |
| Durchführungsverordnung (EU) 2024/2690 | Unbefugten physischen Zutritt verhindern und überwachen, Maßnahmen testen (Anhang, Nr. 13.3); Besucher nennt sie ausdrücklich in Nr. 11.1.2 und 11.2.2 | Nur bestimmte digitale Anbieter wie Cloud, Rechenzentren, Managed Services, Vertrauensdienste |
| ISO/IEC 27001:2022 | Anhang A, 7.1 bis 7.4, darunter 7.2 Physischer Zutritt; Auswahl über die Risikobehandlung, keine Technikvorgabe | Zertifizierte Unternehmen und solche, die es werden wollen |
| BSI IT-Grundschutz (Edition 2023) | Zutritt zu schützenswerten Bereichen regeln und kontrollieren (INF.1.A7), Fremdpersonen begleiten (ORP.1.A3) | Freiwillige Grundlage, kein Gesetz |
| Arbeitsschutz (§ 10 ArbSchG, ASR A2.3) | Notfallmaßnahmen, die anwesende Dritte berücksichtigen; freie Fluchtwege und Notausgänge | Jeder Arbeitgeber in Deutschland |
NIS2 erfasst mittlere und große Unternehmen der Sektoren in den Anhängen I und II, etwa Hersteller von Elektronik, Maschinen und Fahrzeugen (NACE C26 bis C30), von Medizinprodukten, Chemikalien und Lebensmitteln; Kleinst- und Kleinunternehmen meist nicht. In Deutschland gilt ein Unternehmen dieser Sektoren ab 50 Beschäftigten oder bei je über 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme mindestens als wichtige Einrichtung (§ 28 BSIG); eine erste Einschätzung liefert die Betroffenheitsprüfung des BSI. Stand Oktober 2026: Das neue BSIG ist seit 6. Dezember 2025 in Kraft, Österreich hat NIS2 mit dem NISG 2026 umgesetzt, in der Schweiz gilt NIS2 nicht, wohl aber seit 1. September 2023 das revidierte Datenschutzgesetz.
Zwei Klarstellungen. Wo § 30 BSIG von Zugriffskontrolle spricht, nennt er weder Drehkreuze noch Besucherregister; der physische Zutritt gehört über den gefahrenübergreifenden Ansatz zur Risikoanalyse. Und das KRITIS-Dachgesetz betrifft Betreiber kritischer Anlagen, KMU meist nur als Dienstleister vor Ort. Ein Register hilft zu dokumentieren, konform macht es niemanden; diese Seite ist keine Rechtsberatung. Ob ein Register vorgeschrieben ist, klärt der Ratgeber zur Frage, ob ein Besucherbuch Pflicht ist.
Zehn Schritte für die ersten 30 Tage. Keiner verlangt eine Investition in Technik, jeder lässt sich in einer Besprechung entscheiden.
Wie sich die Anmeldung aus Sicht des Besuchers anfühlt, sehen Sie in zwei Minuten im Browser: Besucheranmeldung online testen, ohne Installation.
IRIGuest übernimmt die Registerseite der Kette, auf iPad oder Android-Tablet: Anmeldung und Abmeldung in fünf Sprachen nach Wahl des Besuchers, Unterschrift auf dem Bildschirm, anpassbare Einwilligungen und Fragen, etwa zur Nummer des Besucherausweises, zum besuchten Bereich, zur Kenntnisnahme der Hausregeln, zu Geheimhaltung oder Fotoverbot. Die offenen Besuche sind die Anwesenheitsliste. Die kostenlose Version arbeitet nur offline und ohne Zeitlimit; jedes Tablet ist ein eigenes Register mit CSV-Export. Die Cloud-Version arbeitet online, benachrichtigt den Gastgeber, bietet QR-Voranmeldung, einen gemeinsamen Verlauf für mehrere Tablets, Eingänge und Standorte, die Anwesenheitsliste auf anderen Geräten und die Visitenkartenerfassung mit KI, die nur die Karte liest.
Die Cloud-Version führt die Anmeldungen aller Tablets, Eingänge und Standorte in einem Verlauf zusammen, benachrichtigt den Gastgeber und zeigt die offenen Besuche auch auf einem anderen Gerät. Dazu Voranmeldung per QR-Code, An- und Abmeldung per QR-Code des Ausweises, automatische Löschung nach Ablauf der Frist und Visitenkartenerfassung mit KI. Ab 50 €/Monat zzgl. MwSt. oder 540 €/Jahr zzgl. MwSt. im Jahresabo.
Was IRIGuest nicht tut: Von sich aus öffnet und steuert es keine Türen, Drehkreuze, Schranken oder Tore; projektbezogen lässt sich die Cloud-Version per API an ein bestehendes Zutrittskontrollsystem anbinden. Es prüft keine Ausweisdokumente, fotografiert keine Besucher, nutzt keine Biometrie und druckt keine Ausweise am Tablet (dafür gibt es den kostenlosen Badge-Generator). Es arbeitet neben einer Türsteuerung, nicht an ihrer Stelle, und hilft zu dokumentieren, wer zu wem kam und wann er ging; konform macht es niemanden. Mehr dazu auf der Seite zur Besucher-App für den Empfang.
Amtliche Texte und Leitlinien, Rechtsstand geprüft im Oktober 2026. Die Seite informiert und ersetzt weder Rechtsberatung noch den Rat Ihres Datenschutzbeauftragten oder der Fachkraft für Arbeitssicherheit.
Ein Zutrittskontrollsystem entscheidet, welche Karte welche Tür zu welcher Zeit öffnet, und betrifft vor allem die eigene Belegschaft. Besuchermanagement regelt die Menschen ohne Karte: wer kommt, von welcher Firma, zu wem, warum, wann er geht und welche Regeln er bestätigt hat. Eine Besuchermanagement-Software wie IRIGuest gehört zur zweiten Kategorie und öffnet keine Türen.
Meist nicht. Bei einem Eingang genügen ein ausgeschilderter Besuchereingang, Nebentüren, die von außen geschlossen und von innen jederzeit zu öffnen sind, ein Gastgeber je Besuch, ein Register mit Kommen und Gehen, nummerierte Besucherausweise und Begleitung außerhalb des Empfangs. Technik lohnt sich zuerst an der empfindlichsten Stelle, etwa als elektronisches Schloss am Serverraum. Drehkreuze sind für die meisten KMU der letzte Schritt, nicht der erste.
Einbehalten nicht: Nach § 1 Abs. 1 Personalausweisgesetz darf niemand verlangen, dass der Inhaber seinen Ausweis hinterlegt, auch nicht im Tausch gegen einen Besucherausweis. Kopieren ist nach § 20 Abs. 2 PAuswG nur durch den Inhaber oder mit seiner Zustimmung erlaubt. Praktisch heißt das: Ausweis nur bei begründetem Risiko zeigen lassen, die Prüfung vermerken, keine Kopie aufbewahren.
Nicht überall. Am Empfang dürfen registrierte Besucher allein warten; in Büros, Produktion und Lager ist Begleitung die Regel, in Sicherheitsbereichen Pflicht, zusätzlich mit Freigabe. Auch das IT-Grundschutz-Kompendium des BSI (Edition 2023, ORP.1.A3) sieht vor, Fremdpersonen zu begleiten und in sensiblen Bereichen zu beaufsichtigen – ein Maßstab, kein Gesetz. Die Begleitung endet nicht an der Tür des Besprechungsraums.
NIS2 gilt für mittlere und große Unternehmen bestimmter Sektoren; kleinere Zulieferer erreicht sie meist nur über die Anforderungen ihrer Kunden. Betroffene Einrichtungen brauchen ein Risikomanagement nach einem gefahrenübergreifenden Ansatz, der auch die physische Umwelt der IT-Systeme schützt – Drehkreuz oder Besucherregister schreibt NIS2 nicht vor. Stand Oktober 2026 ist in Deutschland das neue BSIG seit 6. Dezember 2025 in Kraft, Österreich hat NIS2 mit dem NISG 2026 umgesetzt, die Schweiz kennt kein NIS2. Zonen, Gastgeber, Register und verschlossene Sicherheitsbereiche sind ein verhältnismäßiger, gut nachweisbarer Ausgangspunkt.
Nicht in jedem Fall unzulässig, für Besucher aber fast nie verhältnismäßig. Biometrische Daten zur eindeutigen Identifizierung sind besondere Kategorien nach Art. 9 DSGVO; beruht der Zutritt auf Einwilligung, verlangt der Europäische Datenschutzausschuss zusätzlich eine Alternative ohne Biometrie. Gastgeber, Besucherausweis und Begleitung erreichen dasselbe mit weit weniger Risiko. IRIGuest nutzt keine Biometrie; die Unterschrift auf dem Tablet wird als Bild gespeichert.
Ja, wenn es nötig und verhältnismäßig ist, gestützt auf das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO). Ein Schild vor dem überwachten Bereich informiert, die vollständigen Angaben liegen am Empfang. 72 Stunden Speicherung hält die Datenschutzkonferenz in der Regel für ausreichend. Die Kamera zeigt nie auf das Anmeldetablet; filmt sie Mitarbeitende, bestimmt ein vorhandener Betriebsrat mit.
Zuerst klären, ob der Besuch beendet ist: Die Nummer im Register zeigt den zugehörigen Besuch, der Gastgeber weiß, ob sein Gast gegangen ist. Ein Sichtausweis wird als ungültig vermerkt, seine Nummer nicht neu vergeben. Eine Zutrittskarte wird sofort im Zutrittskontrollsystem gesperrt. Häufen sich solche Fälle, fehlt meist ein klarer Rückgabepunkt am Ausgang.
Der Gastgeber, nicht der Empfang allein. Wer ohne Termin kommt, wartet am Empfang, bis die Person, zu der er möchte, den Besuch bestätigt oder eine benannte Vertretung einspringt. Techniker prüfen Sie per Rückruf bei ihrer Firma unter einer Nummer aus Ihren eigenen Unterlagen; Kuriere geben am Empfang oder an der Rampe ab. Rettungskräfte werden nie aufgehalten.
Ja. Manche Systeme auf dem Markt legen bei der Anmeldung eine befristete Karte oder einen QR-Code im Zutrittskontrollsystem an und sperren den Zugang beim Gehen wieder. IRIGuest steuert von sich aus keine Türen, Leser oder Drehkreuze; projektbezogen lässt sich die Cloud-Version aber per API an ein bestehendes Zutrittskontrollsystem anbinden. Ohne eine solche Anbindung laufen beide nebeneinander, und der Abgleich zwischen Besuchseintrag und Zutrittskarte ist ein Schritt im Ablauf.
Probieren Sie aus, wie sich ein Besucher bei IRIGuest anmeldet, oder lassen Sie sich in einer Demo zeigen, wie Register und Anwesenheitsliste zu Ihrem Standort passen.
