Wie lange dürfen Besucherdaten gespeichert werden?

Was die DSGVO zur Aufbewahrung von Daten sagt

Besucherdaten – Name, Firma, besuchte Person, Zeiten – sind personenbezogene Daten. Ihre Aufbewahrung richtet sich daher nach der DSGVO (Verordnung (EU) 2016/679), insbesondere nach Artikel 5, der die Grundsätze für jede Verarbeitung benennt. Das ist keine Liste von Fristen, sondern von Kriterien, die die Entscheidungen des Unternehmens leiten.

• Speicherbegrenzung (Art. 5 Abs. 1 lit. e) — Daten dürfen nicht länger in identifizierbarer Form gespeichert werden, als es die Zwecke erfordern. Das ist der zentrale Grundsatz bei der Frage „wie lange“.
• Datenminimierung (Art. 5 Abs. 1 lit. c) — es werden nur angemessene, erhebliche und auf das Notwendige beschränkte Daten erhoben. Je weniger Sie erheben, desto weniger müssen Sie aufbewahren und schützen.
• Zweckbindung (Art. 5 Abs. 1 lit. b) — Daten werden für festgelegte, eindeutige Zwecke erhoben. Der Zweck rechtfertigt – und bemisst – die Aufbewahrungsdauer.
• Rechenschaftspflicht (Art. 5 Abs. 2, „accountability“) — der Verantwortliche muss die Grundsätze nicht nur einhalten, sondern dies auch nachweisen können. Daher die Bedeutung einer schriftlichen Richtlinie.

Ein wichtiger Hinweis: Diese Seite dient der allgemeinen Information und ersetzt keine Rechtsberatung. In größeren Organisationen oder bei besonderen Verarbeitungen ist es sinnvoll, den Datenschutzbeauftragten (DSB) oder eine Fachperson einzubeziehen. Für eine vertiefte Betrachtung der Konformität siehe unseren Leitfaden zu Besucherregister und DSGVO.

Warum ein Besucherregister führen

Bevor man fragt, wie lange, lohnt es sich zu klären, warum man die Daten aufbewahrt. Die Zwecke bestimmen die Dauer: Jeder berechtigte Grund entspricht einem anderen Aufbewahrungshorizont.

Welche Daten aufbewahren, welche meiden

Der Grundsatz der Datenminimierung ist der beste Verbündete: Je weniger Sie erheben, desto einfacher lässt sich korrekt aufbewahren und löschen. Die Tabelle führt die typischen Daten eines Besucherregisters auf, ihren Nutzen und die DSGVO-Vorsicht. Es ist eine grobe Einschätzung, die an Ihre realen Zwecke anzupassen ist.

Wie lange aufbewahren, in der Praxis

Da es keine einheitliche Frist gibt, ist es sinnvoller, in indikativen, an den Zweck gebundenen Horizonten zu denken. Die folgenden Beispiele sind keine gesetzlich vorgeschriebenen Regeln oder Schwellen: Sie zeigen nur, wie die Dauer mit dem Zweck variiert. Die endgültige Wahl muss von Ihrem Unternehmen verhältnismäßig, begründet und dokumentiert getroffen werden.

Der rote Faden bleibt stets derselbe: Die Dauer folgt dem Zweck. Daten „zur Sicherheit“ aufzubewahren, ohne festzulegen, wann sie gelöscht werden, ist keine gute Praxis; sie für einen definierten, zweckkonformen und in einer Verfahrensanweisung festgehaltenen Zeitraum aufzubewahren, schon.

Häufige Fehler bei der Verwaltung des Registers

Bei der Aufbewahrung von Besucherdaten wiederholen sich oft dieselben Fehler. Sie zu kennen hilft, von Anfang an einen tragfähigeren, konformen Prozess aufzusetzen.

• Daten unbefristet aufbewahren — Register ohne Löschregel anzuhäufen, widerspricht der Speicherbegrenzung. Es braucht eine definierte Frist und ein Verfahren, das sie umsetzt.
• Mehr erheben als nötig — Ausweiskopien, Fotos oder überflüssige Felder verletzen die Minimierung. Erhoben wird nur, was die genannten Zwecke erfordern.
• Papierregister offen liegen lassen — das offene Buch, in dem jeder die Daten der Vorgänger liest, ist das klassische, oft unterschätzte Vertraulichkeitsproblem.
• Den Besucher nicht informieren — ohne klare Information nach Art. 13 weiß der Besucher nicht, wer seine Daten verarbeitet, warum und wie lange.
• Keine internen Zuständigkeiten festlegen — ist niemand mit Verwaltung und Löschung betraut, bleibt das Verfahren auf dem Papier und wird nie angewandt.
• Kopien und Backups vergessen — die Hauptdatei zu löschen, aber Kopien in E-Mails, auf Sticks oder in Backups zu belassen, heißt: gar nicht wirklich gelöscht.
• „Nützlich“ mit „notwendig“ verwechseln — ein Datum, das vielleicht einmal nützt, ist allein deshalb kein aufzubewahrendes Datum. Es zählt der aktuelle Zweck.

Papierregister und Probleme der Aufbewahrung

Das Buch am Empfang ist die verbreitetste Lösung, aber auch jene, die eine korrekte Aufbewahrung am schwersten macht. Die Grenzen betreffen nicht nur die Praktikabilität: Sie berühren unmittelbar Vertraulichkeit und Sicherheit.

• Sperrige physische Archive — ausgefüllte Register sammeln sich in Ordnern und Schränken, und mit der Zeit verliert man leicht den Überblick.
• Unkontrollierter Zugriff — ein offenes Buch am Tresen kann von jedem Vorbeigehenden gelesen werden: Jeder Besucher sieht die Daten der Vorgänger.
• Vernichtung der Unterlagen — abgelaufene Daten zu löschen heißt, die Seiten physisch und sicher zu vernichten: ein Vorgang, der oft nie erfolgt.
• Privatsphäre der anderen Besucher — ein einzelner Name lässt sich nicht selektiv löschen, ohne die ganze Seite zu beeinträchtigen, auf der auch andere stehen.

Excel-Register und Aufbewahrung der Daten

Eine Excel-Tabelle ist ein Fortschritt gegenüber Papier: Die Daten sind lesbar, durchsuchbar und zeilenweise löschbar. Bei der Aufbewahrung bringt sie jedoch ein spezifisches Risiko mit – die Vermehrung von Kopien – das mit Disziplin zu steuern ist.

• Mehrere Kopien — die Datei wird dupliziert, per E-Mail versendet, auf Sticks gespeichert: Irgendwann weiß niemand mehr, wie viele Versionen der Daten existieren und wo.
• Geteilte Dateien — in einem Netzlaufwerk oder der Unternehmens-Cloud kann das Register von mehr Personen geöffnet werden als nötig, wenn die Berechtigungen nicht gepflegt sind.
• Zugriffsrechte — Excel unterscheidet keine Rollen: Wer die Datei öffnet, sieht alles. Den Zugriff zu begrenzen hängt allein davon ab, wie der enthaltende Ordner eingerichtet ist.
• Backups — automatische Backups sind wertvoll, bewahren aber auch die Daten, die Sie gelöscht glaubten: Die Löschung muss auf sie ausgedehnt werden.
• Löschung — abgelaufene Zeilen zu entfernen ist nur in der Theorie einfach: Es braucht eine stetige Routine, sonst wächst die Datei und speichert Daten weit über das Nötige hinaus.

Das digitale Besucherregister und die geplante Löschung

Ein digitales Besucherregister geht die Aufbewahrung strukturell an, weil die Regeln, die man mit Papier und Excel von Hand anwenden muss, einmal eingestellt und dann vom System eingehalten werden können. Es macht ein Unternehmen nicht „automatisch konform“, aber es macht es weit einfacher, das Beschlossene auch umzusetzen.

IRIGuest ist genau als Weiterentwicklung von Buch und Excel-Tabelle entstanden: Es ersetzt Papier durch eine App auf iPad- und Android-Tablets, auf der sich jeder Besucher selbst registriert, die Information zur Kenntnis nimmt und auf dem Bildschirm unterschreibt. Es gibt eine kostenlose Version, auch offline nutzbar, und eine Cloud-Version für alle, die mehrere Standorte verwalten und Berichte sowie zentrale Verwaltung wünschen. Wir erwähnen es hier nicht, um es zu verkaufen, sondern weil es genau das Werkzeug ist, von dem dieser Abschnitt handelt.

Praktische Checkliste: Gehen Sie gut mit Besucherdaten um?

Eine schnelle Prüfung, ob Ihre Aufbewahrung in Ordnung ist. Wenn Sie überall „ja“ sagen können, sind Sie auf dem richtigen Weg; jedes „nein“ ist ein Punkt zum Nachbessern.

• Haben Sie geklärt, warum Sie Besucherdaten erheben (die Zwecke der Verarbeitung)?
• Erheben Sie nur die nötigen Daten für diese Zwecke und vermeiden überflüssige Felder (Minimierung)?
• Haben Sie festgelegt, wie lange Sie die Daten aufbewahren, und es in einer Verfahrensanweisung schriftlich festgehalten?
• Gibt es einen konkreten Weg, abgelaufene Daten zu löschen (Papier vernichtet, Zeilen und Backups entfernt, geplante Löschung)?
• Geben Sie Besuchern eine klare Information beim Eintritt (Art. 13 DSGVO)?
• Sind die Daten eines Besuchers vor dem Blick der anderen geschützt?
• Dürfen nur befugte Personen das Register einsehen?
• Vermeiden Sie es, Ausweiskopien oder Fotos ohne echten Bedarf aufzubewahren?
• Haben Sie eine interne verantwortliche Person für Verwaltung und Löschung benannt?
• Führen Sie eine periodische Überprüfung (z. B. jährlich) Ihrer Aufbewahrungsregel durch?

Häufige Fragen