Zutrittskontrolle und Datenschutz

In der Schweiz

Die beiden tragenden Normen stehen nicht im Datenschutzrecht allein. Art. 26 Abs. 1 der Verordnung 3 zum Arbeitsgesetz (SR 822.113, Stand 1.9.2024) lautet wörtlich: «Überwachungs- und Kontrollsysteme, die das Verhalten der Arbeitnehmer am Arbeitsplatz überwachen sollen, dürfen nicht eingesetzt werden.» Absatz 2 fügt an: «Sind Überwachungs- oder Kontrollsysteme aus andern Gründen erforderlich, sind sie insbesondere so zu gestalten und anzuordnen, dass die Gesundheit und die Bewegungsfreiheit der Arbeitnehmer dadurch nicht beeinträchtigt werden.» Daneben steht Art. 6 Abs. 4 des Datenschutzgesetzes (SR 235.1, Stand 7.7.2025): «Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.» Beides wurde für diesen Eintrag im Fedlex-Volltext nachgelesen. Zahlen nennt das DSG erst weit hinten: Die Auskunft an eine betroffene Person wird nach Art. 25 Abs. 7 in der Regel innerhalb von 30 Tagen erteilt. Für die Aufbewahrung von Zutrittsdaten steht keine Zahl darin. Das Wort Aufbewahrung erscheint darin nur zweimal, in Art. 12 Abs. 2 Bst. e und in Art. 25 Abs. 2 Bst. d, beide Male in derselben Wendung: die Aufbewahrungsdauer oder die Kriterien zur Festlegung dieser Dauer. Die Dauer setzt der Betrieb, das Gesetz verlangt nur, dass er sie begründen kann.

Die Zweckgrenze, nicht die Technik

Die Norm besteht aus zwei Sätzen und trennt zwei Fälle. Der erste schliesst Systeme aus, die das Verhalten überwachen sollen. Massgebend ist die Zweckrichtung, nicht die Technik: Eine Anlage, die eingerichtet wird, um zu sehen, wer wann wie lange wo war, fällt darunter.

Der zweite Satz betrifft Systeme, die aus anderen Gründen erforderlich sind, und Zutrittssicherung ist ein solcher Grund. Für sie gilt keine Bewilligung, sondern eine Gestaltungsvorgabe: Gesundheit und Bewegungsfreiheit dürfen nicht beeinträchtigt werden. Über die Datenspeicherung sagt die Verordnung nichts.

Die Lesart, elektronische Zutrittskontrolle sei im Betrieb heikel oder gar unzulässig, verkürzt die Norm auf ihren ersten Satz. Wer beide Sätze liest, erhält keine Verbotsnorm für Türtechnik, sondern eine Zweckgrenze: Die Anlage darf die Tür sichern, sie darf nicht zum Instrument der Verhaltenskontrolle umgewidmet werden. Wo diese Grenze im Einzelfall verläuft, ist nicht durch veröffentlichte Rechtsprechung geklärt; die Wegleitung des SECO dazu ist ein Vollzugshilfsmittel und kein Erlass. Der Satz gilt für den Suchraum dieses Eintrags, und der besteht aus den Erlasstexten sowie dem Material von EDÖB und SECO, wobei die Wegleitung selbst nicht im Volltext einsehbar war; eine Entscheidsammlung gehört nicht dazu, weshalb über den Bestand kantonaler oder bundesgerichtlicher Urteile zu Art. 26 ArGV 3 hier nichts behauptet ist.

Der Arbeitsvertrag redet mit

Neben der Arbeitsschutzverordnung steht eine Norm im Obligationenrecht, die oft übersehen wird. Art. 328b OR lautet: «Der Arbeitgeber darf Daten über den Arbeitnehmer nur bearbeiten, soweit sie dessen Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrages erforderlich sind. Im Übrigen gelten die Bestimmungen des Datenschutzgesetzes vom 25. September 2020.»

Das ist eine engere Schranke als der allgemeine Verhältnismässigkeitsgrundsatz. Ein Protokoll, das zeigt, wer den Serverraum betreten hat, betrifft die Durchführung des Arbeitsvertrags. Eine Auswertung derselben Daten über Monate hinweg, um Anwesenheitsmuster einer Person zu beurteilen, tut das nicht mehr ohne Weiteres.

Die haftungsrechtliche Seite der Schlüsselausgabe an Mitarbeitende steht im Eintrag zur Haftung beim Schlüsselverlust am Arbeitsplatz.

Löschen heisst im DSG nicht nach drei Monaten

Art. 6 Abs. 4 DSG knüpft die Löschung an den Zweck und nicht an den Kalender. Das widerspricht der Erwartung: Ratgebertexte zu Zutrittsprotokollen nennen regelmässig drei oder sechs Monate, und diese Zahlen stehen weder im DSG noch in der Datenschutzverordnung.

Art. 12 Abs. 2 Bst. e DSG verlangt, dass das Verzeichnis der Bearbeitungstätigkeiten «wenn möglich die Aufbewahrungsdauer der Personendaten oder die Kriterien zur Festlegung dieser Dauer» enthält. Das Gesetz setzt die Dauer nicht, es verlangt, dass der Verantwortliche sie selbst setzt und benennen kann.

Für den Betrieb folgt daraus eine Denkrichtung statt einer Zahl: Wozu wird das Protokoll geführt, wie lange wird es dafür gebraucht, und was geschieht danach. Wer es führt, um nach einem Diebstahl den Kreis der Zutrittsberechtigten rekonstruieren zu können, hat einen Zweck, dessen Dauer sich begründen lässt. Wer es führt, weil das System es ohnehin schreibt, hat keinen.

Zwei Zahlen in der Verordnung, die nicht auf Türprotokolle passen

In der Datenschutzverordnung (SR 235.11, Stand 1.12.2025) stehen zwei konkrete Fristen, und beide werden leicht falsch bezogen. Art. 4 Abs. 5 DSV bestimmt: «Die Protokolle müssen während mindestens einem Jahr getrennt vom System, in welchem die Personendaten bearbeitet werden, aufbewahrt werden.» Gemeint ist die Protokollierung nach Art. 4 Abs. 1 und 2 DSV: bei privaten Verantwortlichen nur bei umfangreicher Bearbeitung besonders schützenswerter Daten oder bei Profiling mit hohem Risiko, bei Bundesorganen seit dem 1. Dezember 2025 für besonders schützenswerte Personendaten, für Profilings und für Bearbeitungen nach der Richtlinie (EU) 2016/680, im Übrigen erst nach einer Risikobeurteilung, deren Ergebnis Art. 4 Abs. 2bis DSV schriftlich verlangt. Das Türprotokoll einer gewöhnlichen KMU-Anlage ist nicht dieses Bearbeitungsprotokoll.

Die zweite Zahl steht in Art. 14 DSV: Die Datenschutz-Folgenabschätzung ist nach Beendigung der Bearbeitung mindestens zwei Jahre aufzubewahren. Auch das betrifft ein Dokument, nicht die Personendaten.

Der Zylinder ist selbst eine Datenschutzmassnahme

Ein Punkt kehrt die Blickrichtung um. Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit. Art. 3 Abs. 1 Bst. b DSV nennt als eine dieser Massnahmen, dass «nur berechtigte Personen Zugang zu den Räumlichkeiten und Anlagen haben, in denen Personendaten bearbeitet werden (Zugangskontrolle)».

Die Schliessung des Aktenraums, des Serverschranks und des Büros mit den Personaldossiers ist damit nicht bloss eine Sicherheitsfrage, sondern eine Anforderung des Datenschutzrechts.

Die Unterlassung ist mit einer Strafdrohung versehen: Art. 61 Bst. c DSG stellt es unter Busse bis zu 250 000 Franken, die Mindestanforderungen an die Datensicherheit vorsätzlich nicht einzuhalten. Strafbar ist nach dem Wortlaut die private Person; nur bei einer Busse bis 50 000 Franken kann nach Art. 64 Abs. 2 DSG an ihrer Stelle der Geschäftsbetrieb verurteilt werden.

Ab welcher Grösse ein Verzeichnis nötig ist

Art. 12 Abs. 1 DSG verlangt ein Verzeichnis der Bearbeitungstätigkeiten. Für kleine Betriebe gibt es eine bezifferte Ausnahme: Art. 24 DSV befreit privatrechtliche Organisationen, die am 1. Januar eines Jahres weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen, von dieser Pflicht.

Die Ausnahme hat zwei Rückausnahmen, und die zweite ist für Zutrittssysteme einschlägig. Sie entfällt, wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden oder wenn ein Profiling mit hohem Risiko durchgeführt wird. Art. 5 Bst. f DSG umschreibt Profiling als automatisierte Bearbeitung zur Bewertung persönlicher Aspekte und nennt darin ausdrücklich «Aufenthaltsort oder Ortswechsel».

Eine Anlage, die Bewegungen über die Zeit verknüpft und daraus Muster einzelner Personen ableitet, nähert sich damit von zwei Seiten der Grenze: arbeitsrechtlich dem Verbot in Art. 26 Abs. 1 ArGV 3, datenschutzrechtlich dem Profilingbegriff. Die blosse Protokollierung eines Türöffnungsvorgangs tut das nicht.

Fingerabdruck statt Badge wechselt die Kategorie

Biometrische Daten, die eine natürliche Person eindeutig identifizieren, zählt Art. 5 Bst. c Ziff. 4 DSG zu den besonders schützenswerten Personendaten. Der Wechsel von der Karte zum Finger ist deshalb kein Komfortentscheid, sondern ein Kategorienwechsel im Recht.

Die Folge steht in Art. 6 Abs. 7 Bst. a DSG: Ist eine Einwilligung erforderlich, muss sie für besonders schützenswerte Personendaten ausdrücklich erfolgen. Dazu kommt, dass sie nach Art. 6 Abs. 6 DSG nur gültig ist, wenn sie freiwillig erteilt wird, was im Arbeitsverhältnis die schwierigere Voraussetzung ist.

Für ein KMU heisst das zunächst, dass die biometrische Variante eine eigene Begründung braucht und die kartenbasierte nicht. Ob ein Betrieb Biometrie an der Eingangstür einsetzen darf, ist damit nicht beantwortet. Die Zurückhaltung folgt aus dem für diesen Eintrag ausgewerteten Material, das aus Erlasstexten und Behördenpublikationen besteht und keinen Gerichtsentscheid enthält; über die kantonale oder bundesgerichtliche Praxis zur Biometrie am Arbeitsplatz ist damit nichts gesagt.

Was der EDÖB dazu sagt und wofür seine Wegleitung gilt

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte nennt auf seiner Seite zur Überwachung am Arbeitsplatz elektronische Badges und die Erfassung der Ein- und Austrittszeit als Beispiel einer zulässigen Organisationskontrolle, unter den Voraussetzungen eines legitimen Zwecks, der Verhältnismässigkeit und der vorgängigen Information. Eine Aufbewahrungsfrist nennt er auch dort nicht.

Eine eigene EDÖB-Publikation zum Betrieb von Zutrittskontrollsystemen gibt es, sie stammt von 2016 und gilt Freizeitanlagen wie Bädern und Fitnesscentern. Sie koppelt die zulässigen Daten an die Gültigkeitsdauer der Karte und verlangt die Löschung nach deren Ablauf. Der Anwendungsbereich ist ein anderer als der betriebliche Zutritt, das Muster aber dasselbe, das Art. 6 Abs. 4 DSG vorgibt: Die Dauer hängt am Zweck.

Eine Norm zum Gegenstand gibt es, und sie nimmt keine Pflicht ab

Im Katalog der Schweizerischen Normen-Vereinigung ist zu diesem Gegenstand eine Publikation registriert: SNR CEN/TS 17814:2022, im Schweizer Normenwerk unter der SIA-Nummer 343.548 geführt, Ausgabe Oktober 2022, Status aktuell, CHF 50.00. Wovon sie handelt, sagt der Katalogsatz nicht eindeutig, denn er zeigt je nach Abrufweg einen anderen Titel: deutsch «Schlösser und Baubeschläge - Datenschutz bei Schliessanlagen - Leitfaden», englisch «Building hardware - Master Key System data protection - Guidance», französisch «Quincaillerie du bâtiment - Spécification technique pour la protection des données du système d'organigramme de clé - Guide». Ein organigramme de clé ist der Schliessplan. Die deutsche Fassung zeigt damit auf den Schutz von Personendaten, die französische auf den Schutz der Anlagendaten, und welche Lesart die Publikation trägt, steht hinter der Bezahlschranke.

Auf die Pflichten eines Betriebs wirkt sich das ohnehin nicht aus. Art. 22 Abs. 5 DSG lässt den privaten Verantwortlichen von einer Datenschutz-Folgenabschätzung nur absehen, wenn er ein System, ein Produkt oder eine Dienstleistung einsetzt, das oder die «für die vorgesehene Verwendung nach Artikel 13 zertifiziert ist», oder wenn er «einen Verhaltenskodex nach Artikel 11 einhält», der auf einer Folgenabschätzung beruht, Schutzmassnahmen vorsieht und dem EDÖB vorgelegt wurde. Einen Verhaltenskodex legt nach Art. 11 DSG ein Berufs-, Branchen- oder Wirtschaftsverband dem EDÖB vor; eine Zertifizierung nach Art. 13 DSG spricht eine anerkannte unabhängige Zertifizierungsstelle über ein konkretes System aus. Eine technische Spezifikation ist keines von beidem, und Art. 13 Abs. 2 DSG nennt die «international anerkannten technischen Normen» nur als Massstab für den Bundesrat.

Wo die Beleglage endet und Herstellermaterial beginnt

Sobald es um die Auslegung der Anlage geht, hört das amtliche Material auf. Gesucht wurde nach einer Publikation eines Schweizer Verbands oder einer Behörde, die für einen KMU-Betrieb beschreibt, wie viele Zonen üblich sind und wie sich ein vernetztes System gegenüber einem eigenständigen im Preis verhält. Zurück kamen ausschliesslich Herstellerseiten. Erfasst hat diese Suche frei zugängliche Webseiten, und sie endete, als das Recherchekontingent erschöpft war. Ein kostenpflichtiges Merkblatt oder eine gedruckte Verbandsschrift wäre dabei gar nicht sichtbar geworden.

Als Herstellerangabe festgehalten: Die Glutz AG in Solothurn schreibt zu ihrem System eAccess, mittlere und grosse Installationen liessen sich «via PC per NET-Funkstick» verwalten. Aus dem Fachhandel stammt das Verkaufsargument, ein verlorenes Zutrittsmedium lasse sich im System sperren, ohne Zylinder oder andere Medien zu tauschen.

Ungeklärt bleibt ausgerechnet die Zahl, auf die es im Verlustfall ankommt: Wie schnell eine gesperrte Karte an einer nicht vernetzten Tür nicht mehr öffnet, unterscheidet keine der gesichteten Quellen. Gesichtet waren Hersteller- und Fachhandelsseiten, die das Sperren als Vorgang beschreiben, ohne vernetzten und eigenständigen Betrieb zu trennen; amtliches Material oder ein Normtext zu dieser Frage lag nicht vor, und ob ein Hersteller die Zahl auf Anfrage nennt, bleibt offen. Wer ein System auswählt, sollte diesen Punkt schriftlich beantwortet haben.

Was ein Betrieb festlegen sollte, bevor die Anlage läuft

Aus den beiden Erlassen ergibt sich eine kurze Liste. Sie ersetzt keine Rechtsberatung, sie hält fest, wofür das Gesetz eine Antwort verlangt.

• Den Zweck der Protokollierung schriftlich benennen, und zwar so, dass er nicht Verhaltenskontrolle ist (Art. 26 Abs. 1 ArGV 3, Art. 328b OR).
• Die Aufbewahrungsdauer selbst festlegen und begründen, statt eine Zahl aus einem Ratgeber zu übernehmen (Art. 6 Abs. 4 und Art. 12 Abs. 2 Bst. e DSG).
• Festhalten, wer die Protokolle in welchem Anlassfall einsehen darf, und den Zugriff technisch beschränken (Art. 8 DSG, Art. 3 Abs. 1 Bst. a DSV).
• Die Mitarbeitenden vor der Inbetriebnahme informieren, was erfasst wird und wozu (Art. 19 DSG).
• Vorbereiten, wie eine Auskunft nach Art. 25 DSG beantwortet wird, in der Regel innerhalb von 30 Tagen.