Kurz gesagt: Für die meisten Betriebe ist RFID die Basis — schnell, robust, sofort sperrbar, datenschutzrechtlich unkompliziert. PIN ergänzt sie an Türen ohne Publikumsverkehr, App-Zutritt ist die richtige Wahl für Außendienst, Servicetechniker und wechselnde Besucher, Biometrie lohnt sich nur in echten Hochsicherheitsbereichen und bringt erhöhte Anforderungen nach Art. 9 DSGVO mit sich. Die eigentliche Entscheidung ist nicht das Lesemedium, sondern das Berechtigungskonzept dahinter: Wer darf wann in welche Zone?
Der teuerste Fehler in der Praxis ist banal: Ein Betrieb ersetzt Schlüssel durch Karten, legt aber weiterhin allen Mitarbeitenden dieselben Rechte an. Damit hat er einen Generalschlüssel digitalisiert, statt Zutritt zu kontrollieren.
Warum Schlüssel bei wachsenden Betrieben kippen
Der Umstieg kommt selten aus Sicherheitsbewusstsein, sondern aus Betriebsablauf:
- Ein Schlüssel verschwindet. Bei einer mechanischen Schließanlage bedeutet das im ungünstigen Fall den Austausch von Zylindern und die Neuausgabe aller Schlüssel.
- Personalwechsel und Zeitarbeit. Rückgabe wird nicht lückenlos dokumentiert, und jeder nicht zurückgegebene Schlüssel bleibt ein offener Zugang.
- Externe. Reinigung, Wartung, Lieferanten brauchen Zutritt zu einzelnen Bereichen zu bestimmten Zeiten — mechanisch kaum abbildbar.
- Nachweispflicht. Nach einem Vorfall lässt sich mit Schlüsseln nicht rekonstruieren, wer wann im Gebäude war.
Eine elektronische Zutrittskontrolle löst alle vier Punkte über dieselbe Funktion: Eine Berechtigung wird zentral vergeben, zeitlich begrenzt und in Sekunden entzogen.
Die vier Medien im Vergleich
| RFID-Karte / Transponder | PIN-Code | App / Smartphone | Fingerprint / Biometrie | |
|---|---|---|---|---|
| Nutzung im Alltag | Sehr schnell, mit Handschuhen nutzbar | Kein Medium nötig | Kein zusätzliches Medium für Externe | Schnell, nichts zu vergessen |
| Verlustrisiko | Karte kann verloren gehen — sofort sperrbar | Code kann weitergegeben werden | Gerätebindung, entziehbar | Kein Medium |
| Externe/Besucher | Karte muss ausgegeben werden | Code muss geteilt werden | Zeitlich befristete Freigabe per Link | Enrollment nötig, aufwändig |
| Datenschutz | Unkritisch | Unkritisch | Personenbezug, aber unkritisch | Art. 9 DSGVO — besondere Kategorie |
| Typischer Einsatz | Haupteingang, Hallentore, Bürotüren | Nebentüren, Technikräume | Servicetechniker, Außendienst, Lieferanten | Serverraum, Wertelager, Labor |
In der Praxis sind Mischbetriebe der Normalfall: RFID für die Belegschaft, App für Externe, PIN als Rückfallebene, Biometrie an ein bis zwei Türen. Genau dafür sind moderne Systeme ausgelegt — Fingerprint, RFID, PIN und App-basierter Zutritt lassen sich in einem System kombinieren.
Biometrie: erlaubt, aber mit Auflagen
Fingerabdruck, Handvenenmuster, Gesichts- und Irisdaten sind biometrische Daten im Sinne von Art. 9 DSGVO, sobald sie zur eindeutigen Identifizierung verarbeitet werden. Sie fallen damit unter die besonderen Kategorien personenbezogener Daten, deren Verarbeitung grundsätzlich untersagt ist und nur unter den Ausnahmen des Art. 9 Abs. 2 zulässig wird.
Was das im Betrieb bedeutet:
- Rechtsgrundlage klären. In Betracht kommen die ausdrückliche Einwilligung oder eine kollektivrechtliche Regelung. Im Beschäftigungsverhältnis ist die Freiwilligkeit einer Einwilligung regelmäßig fraglich — deshalb ist eine Betriebsvereinbarung in der Praxis der übliche Weg, und der Betriebsrat ist früh einzubinden.
- Zweckbindung ernst nehmen. Biometrische Merkmale dürfen ausschließlich für die Zutrittskontrolle in den definierten Sicherheitsbereichen verarbeitet werden — nicht "weil man dann auch die Zeiterfassung damit machen kann".
- Nicht-biometrische Alternative anbieten. Wer nicht teilnehmen möchte, muss den Bereich auf anderem Weg betreten können — RFID-Karte oder Begleitung durch berechtigtes Personal. Ohne Alternative ist die Freiwilligkeit nicht darstellbar.
- Erforderlichkeit prüfen. Für den Haupteingang eines Bürogebäudes lässt sich Biometrie schwer begründen. Für ein Wertelager oder einen Serverraum sehr wohl.
Technisch entscheidend: Moderne Leser speichern in der Regel kein Bild des Fingerabdrucks, sondern ein mathematisches Template, aus dem sich das Original nicht rekonstruieren lässt. Ob die Speicherung zentral im Server oder dezentral auf einer Karte erfolgt, gehört in die Betriebsvereinbarung — und in die Systementscheidung, bevor gekauft wird.
Das Berechtigungskonzept — der eigentliche Kern
Bevor Hardware bestellt wird, entsteht eine Matrix: Zonen × Personengruppen × Zeitfenster.
| Zone | Belegschaft | Lager/Logistik | Externe Reinigung | Geschäftsführung |
|---|---|---|---|---|
| Haupteingang | Mo–Fr 06–20 Uhr | Mo–Fr 05–22 Uhr | Mo–Fr 18–21 Uhr | 24/7 |
| Verwaltung | Mo–Fr 07–19 Uhr | — | Mo–Fr 18–21 Uhr | 24/7 |
| Lagerhalle | — | Mo–Sa 05–22 Uhr | — | 24/7 |
| Serverraum | — | — | — | 24/7, Biometrie |
Drei Regeln, die sich bewährt haben:
- Rechte an Rollen vergeben, nicht an Personen. Beim Personalwechsel wird die Rolle neu zugewiesen, nicht jede Tür einzeln.
- Zeitfenster großzügig genug für den realen Betrieb. Zu enge Fenster führen dazu, dass jemand die Tür aufkeilt — und das Konzept ist wertlos.
- Protokollierung von Anfang an. Zutritte werden protokolliert; wer das erst nach einem Vorfall aktiviert, hat für den Vorfall keine Daten.
Auch die Protokollierung selbst ist eine Verarbeitung personenbezogener Daten: Löschfristen für die Zutrittsprotokolle gehören definiert und dokumentiert, und die Auswertung darf nicht zur laufenden Verhaltenskontrolle werden. Die Parallelen zur Videoüberwachung sind eng — siehe dazu unseren Beitrag zur DSGVO-konformen Videoüberwachung im Unternehmen.
Besuchermanagement: der unterschätzte Nebeneffekt
Sobald die Zutrittskontrolle steht, wird das Besuchermanagement praktisch kostenlos: Anmeldung am Empfang, befristete Berechtigung für definierte Zonen, automatischer Ablauf am Abend, vollständiges Protokoll. Für Betriebe mit Lieferverkehr — im Mannheimer Hafen- und Industrieumfeld die Regel — ist das oft der Punkt, an dem sich das System im Alltag bezahlt macht.
Kopplung mit Zeiterfassung
Zutrittskontrolle und digitale Arbeitszeiterfassung nutzen dieselbe Infrastruktur: Terminal, Ausweis, Nutzerverwaltung. Wer beides zusammen plant, spart eine zweite Erfassungslogik und exportiert die Zeiten direkt in die Lohnbuchhaltung.
Zwei Einschränkungen gehören dazu:
- Zweckbindung. Zutrittsdaten sind nicht automatisch Arbeitszeitdaten. Beide Zwecke werden getrennt dokumentiert, auch wenn dasselbe Terminal sie erfasst.
- Mitbestimmung. Zeiterfassungssysteme sind technische Einrichtungen im Sinne von § 87 Abs. 1 Nr. 6 BetrVG — der Betriebsrat ist zu beteiligen.
Wie das bei uns zusammenspielt, steht auf der Seite Sicherheitstechnik für Gewerbe & Industrie.
Was bei der Installation zählt
- Türtechnik prüfen. Nicht jede Tür trägt jeden Beschlag; Brandschutztüren haben eigene Anforderungen, und Fluchttüren dürfen in Fluchtrichtung nie blockiert sein.
- Notfallkonzept. Was passiert bei Stromausfall? Fail-safe (Tür entriegelt) oder fail-secure (Tür bleibt verriegelt) ist eine Entscheidung pro Tür, nicht pro Gebäude — und sie hat mit Brand- und Fluchtwegkonzept zu tun.
- Netzwerk und Redundanz. Offline-Fähigkeit der Leser stellt sicher, dass bei Netzausfall die zuletzt gültigen Berechtigungen weiter greifen.
- Übergabe und Schulung. Wer Berechtigungen vergeben darf, muss das System bedienen können. Wir übergeben die Anlage mit Dokumentation und Einweisung.
Häufige Fragen
Ist eine biometrische Zutrittskontrolle im Unternehmen erlaubt? Ja, aber nur unter den Voraussetzungen des Art. 9 DSGVO. In der Praxis braucht es eine Betriebsvereinbarung oder eine wirksame, freiwillige Einwilligung, eine enge Zweckbindung auf definierte Sicherheitsbereiche und eine nicht-biometrische Alternative für Mitarbeitende, die nicht teilnehmen möchten.
RFID oder Fingerabdruck — was ist besser? Für den Regelbetrieb RFID: schnell, robust, sofort sperrbar und datenschutzrechtlich unkompliziert. Biometrie lohnt sich dort, wo ein einzelner Hochsicherheitsbereich abgesichert werden muss und der zusätzliche rechtliche Aufwand vertretbar ist.
Was passiert, wenn eine Karte verloren geht? Die Karte wird im System gesperrt und eine neue ausgegeben — der verlorene Ausweis ist damit sofort wertlos. Anders als bei einer mechanischen Schließanlage müssen weder Zylinder getauscht noch Schlüssel neu verteilt werden.
Kann ich Zutrittskontrolle und Zeiterfassung kombinieren? Ja, beide nutzen dieselben Terminals und Ausweise. Die Zwecke müssen jedoch getrennt dokumentiert werden, und bei Einführung der Zeiterfassung ist der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG zu beteiligen.
Wie lange dürfen Zutrittsprotokolle gespeichert werden? Nur so lange, wie es für den festgelegten Zweck erforderlich ist — die Frist wird betrieblich festgelegt und dokumentiert. Eine laufende Auswertung zur Verhaltens- oder Leistungskontrolle ist unzulässig.
Funktioniert die Zutrittskontrolle bei Stromausfall? Das hängt von der bewussten Auslegung jeder einzelnen Tür ab: fail-safe entriegelt bei Stromausfall, fail-secure bleibt verriegelt. Fluchtwege müssen in Fluchtrichtung immer passierbar bleiben; die Leser arbeiten mit den zuletzt gültigen Berechtigungen weiter.
Nächster Schritt
Ein Berechtigungskonzept entsteht am Grundriss, nicht am Telefon. Wir sehen uns Türen, Zonen und Abläufe vor Ort an und schlagen die passende Medienkombination vor. Beratung anfragen oder +49 621 159 647 34, Mo–Fr 08:00–17:00. Für eine erste Einordnung können Sie auch den System-Konfigurator nutzen.
