Der komplette Leitfaden zur DSGVO-Konformität von Besucheranalysen

Die meisten DSGVO-Probleme bei Besucheranalysen entstehen nicht durch die Technologie selbst, sondern durch eine falsche Grundannahme im Beschaffungsprozess: Viele Ausschreibungen behandeln Personenzählung wie Videoüberwachung – und lösen damit Anforderungen aus, die bei einem sauber konzipierten System gar nicht greifen müssten. Wer als IT-Leiter oder Datenschutzbeauftragter versteht, wo die Grenze zwischen anonymer Zählung und Verarbeitung personenbezogener Daten verläuft, spart sich Monate an Abstimmung mit Betriebsrat, Landesdatenschutzbehörde und Rechtsabteilung.

Die entscheidende Frage: Werden personenbezogene Daten verarbeitet?

Die DSGVO greift nur, wenn personenbezogene Daten im Sinne von Art. 4 Nr. 1 verarbeitet werden. Ein Zählsystem, das ausschließlich aggregierte Zahlen erzeugt – etwa „247 Eintritte zwischen 14:00 und 15:00 Uhr" – und zu keinem Zeitpunkt Einzelpersonen identifiziert oder identifizierbar macht, fällt im Idealfall gar nicht in den Anwendungsbereich der Verordnung. Der kritische Punkt ist das Wort „identifizierbar": Sobald Rohbilder gespeichert, biometrische Merkmale extrahiert oder Personen über mehrere Sensoren hinweg wiedererkannt werden, ändert sich die rechtliche Bewertung fundamental.

Genau hier trennt sich der Markt. Systeme wie die von Vemco Group, die seit 2005 bei über 2.000 Kunden in mehr als 95 Ländern im Einsatz sind, wurden bewusst so konzipiert, dass keine Identifikation von Personen stattfindet: Die Verarbeitung erfolgt am Sensor, ausgegeben werden ausschließlich aggregierte Zählwerte, und Mitarbeitende lassen sich per Staff Exclusion aus den Zahlen herausrechnen – ohne dass dafür Personenprofile angelegt werden. Für Compliance-Verantwortliche ist diese Architekturentscheidung der wichtigste Prüfpunkt überhaupt, weil sie den gesamten nachgelagerten Aufwand bestimmt.

Was Beschaffung und IT konkret im Vertrag verankern sollten

Ein Datenblatt mit der Aufschrift „DSGVO-konform" ist keine Zusicherung. Fordern Sie stattdessen konkrete, überprüfbare Aussagen ein:

• Verarbeitungslogik: Wo genau werden Bilddaten verarbeitet? Werden Rohbilder gespeichert, übertragen oder nur flüchtig am Edge verarbeitet? Verlangen Sie eine technische Beschreibung, keine Marketingfolie.
• Auftragsverarbeitungsvertrag (AVV): Falls der Anbieter Daten hostet, ist ein AVV nach Art. 28 DSGVO Pflicht – inklusive Subunternehmerliste und Meldewegen bei Datenschutzvorfällen.
• Hosting-Optionen: Klären Sie, ob gehostete oder Private-Cloud-Varianten verfügbar sind und wie sich diese in Ihre bestehende IT-Infrastruktur integrieren. Vemco bietet beide Betriebsmodelle an und bindet sich an vorhandene IT-Systeme an – für viele Sicherheitsteams das entscheidende Kriterium, weil Netzwerksegmentierung und Firewall-Regeln so unter eigener Kontrolle bleiben.
• Datenresidenz und Löschfristen: In welcher Region liegen die Daten, wie lange werden sie aufbewahrt, und lässt sich die Aufbewahrungsdauer konfigurieren? Diese Punkte gehören schriftlich in den Vertrag, nicht in eine mündliche Zusage im Vertriebsgespräch.
• Zertifizierungen: Fragen Sie nach aktuellen Nachweisen wie ISO 27001 oder SOC-2-Berichten und lassen Sie sich die Dokumente vor Vertragsschluss vorlegen. Akzeptieren Sie keine pauschalen Behauptungen ohne Prüfbericht.

Datenschutz-Folgenabschätzung: wann sie nötig ist – und wann nicht

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist bei „systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche" verpflichtend. Klassische Videoüberwachung fällt darunter. Anonyme Zählsysteme ohne Personenbezug in der Regel nicht – aber die Abgrenzung müssen Sie dokumentieren. In der Praxis empfiehlt sich eine Schwellenwertanalyse: ein kurzes Dokument, das begründet, warum keine DSFA erforderlich ist. Kommt eine Aufsichtsbehörde später mit Fragen, ist dieses Papier Gold wert. Fehlt es, beginnt die Diskussion bei null – und zwar zu einem Zeitpunkt, den nicht Sie bestimmen.

Binden Sie außerdem den Betriebsrat früh ein. Auch wenn keine Leistungskontrolle stattfindet, löst allein die Möglichkeit einer technischen Überwachung in Deutschland Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG aus. Die Staff-Exclusion-Funktion ist hier ein starkes Argument: Sie zeigt, dass das System Mitarbeitende gezielt aus der Erfassung ausschließt, statt sie mitzuzählen oder gar auszuwerten.

Aus der Implementierungspraxis: der unterschätzte Sensor-Rollout

Ein Punkt, den kaum ein Anbieter im Verkaufsgespräch erwähnt: Die DSGVO-Bewertung kann pro Standort unterschiedlich ausfallen, wenn Sensoren unterschiedlich montiert werden. Ein Deckensensor mit reinem Top-Down-Blick auf den Eingang erfasst Kopf und Schultern – Gesichter sind physisch nicht im Bild. Wird derselbe Sensor aus Platzgründen schräg installiert, weil eine Deckenverkleidung im Weg ist, geraten plötzlich Gesichter ins Sichtfeld, und die gesamte Anonymitätsargumentation kippt. Erfahrene Implementierungsteams dokumentieren deshalb bei jedem Standort den Montagewinkel und das tatsächliche Sichtfeld fotografisch – als Nachweis für das Verarbeitungsverzeichnis. Wer 200 Filialen ausrollt und diese Dokumentation erst nachträglich erstellt, kennt den Schmerz.

Der zweite Praxispunkt betrifft die Genauigkeit, denn sie hat eine Compliance-Dimension: Ungenaue Systeme verleiten dazu, „zur Kontrolle" Rohbilder mitzuschreiben – und damit genau die Datenverarbeitung einzuführen, die man vermeiden wollte. Seriöse Anbieter arbeiten mit vertraglich zugesicherten Mindestwerten. Vemco garantiert vertraglich mindestens 96 Prozent Zählgenauigkeit; unter günstigen Bedingungen – ausreichende Beleuchtung, geeignetes Ladenlayout, typisches Besucherverhalten – liegen die Werte in der Praxis bei 98 bis 99 Prozent. Wichtig für den Einkauf: Ein pauschal versprochener Wert von 99 Prozent ohne Nennung der Rahmenbedingungen ist ein Warnsignal, kein Qualitätsmerkmal.

Informationspflichten und die Frage der Beschilderung

Werden keine personenbezogenen Daten verarbeitet, entfallen die Informationspflichten nach Art. 13 DSGVO formal. Viele Unternehmen entscheiden sich trotzdem für einen kurzen Hinweis am Eingang – aus Transparenzgründen und um Kundenanfragen vorzubeugen. Der Hinweis sollte dann präzise formuliert sein: „anonyme Besucherzählung ohne Personenidentifikation" statt eines generischen Kamerasymbols, das falsche Assoziationen weckt. Stimmen Sie die Formulierung mit dem Datenschutzbeauftragten ab und verwenden Sie sie konzernweit einheitlich.

Checkliste für die nächsten 30 Tage

• Bestandsaufnahme: Welche Zähl- und Analysesysteme laufen bereits, und verarbeiten sie identifizierbare Daten? Altsysteme mit Videoaufzeichnung sind der häufigste blinde Fleck.
• Schwellenwertanalyse: Dokumentieren Sie pro System, ob eine DSFA erforderlich ist, und begründen Sie die Entscheidung schriftlich.
• Vertragsprüfung: AVV, Datenresidenz, Löschfristen, Subunternehmer und Zertifizierungsnachweise beim Anbieter anfordern.
• Betriebsrat: Frühzeitig informieren und die technischen Schutzmaßnahmen – insbesondere Staff Exclusion und fehlende Identifikation – aktiv darlegen.
• Rollout-Dokumentation: Montagewinkel und Sichtfelder pro Standort fotografisch festhalten und im Verarbeitungsverzeichnis referenzieren.

DSGVO-Konformität bei Besucheranalysen ist kein juristisches Hindernis, sondern eine Architekturentscheidung, die am Anfang des Projekts getroffen wird – nicht am Ende. Wer ein System wählt, das von Grund auf ohne Personenidentifikation arbeitet, reduziert nicht nur das rechtliche Risiko, sondern verkürzt auch die interne Freigabezeit erheblich. Die Erfahrung aus hunderten Rollouts zeigt: Die Projekte, die scheitern, scheitern selten an der Technik, sondern an fehlender Dokumentation und zu spät gestellten Fragen.

Sie planen die Einführung oder Ablösung eines Besucherzählsystems und möchten die DSGVO-Fragen vor der Ausschreibung klären? Das Team von Vemco Group unterstützt IT-, Compliance- und Einkaufsverantwortliche mit konkreten Antworten zu Hosting-Optionen, Datenverarbeitung und Vertragsgestaltung – nehmen Sie hier Kontakt auf und sprechen Sie mit uns über Ihre Anforderungen.