Sicherheitsanforderungen für DSGVO-konforme Besucheranalyse

Die Situation kennt jeder Compliance-Verantwortliche: Der Anbieter schreibt „100 % DSGVO-konform" auf die erste Folie, und auf Nachfrage nach dem Auftragsverarbeitungsvertrag, der Verschlüsselung auf dem Sensor oder dem Standort der Datenhaltung wird es plötzlich vage. Bei GDPR visitor analytics – also der datenschutzkonformen Erfassung von Besucherströmen – liegt das Risiko selten in der Statistik selbst. Es liegt in der Kette davor: Sensor, Übertragung, Speicherung, Zugriff. Genau dort müssen IT-Direktion, Datenschutz und Einkauf gemeinsam prüfen, bevor eine Unterschrift fällt.

Die entscheidende Frage: Entstehen überhaupt personenbezogene Daten?

Die DSGVO greift nur, wenn personenbezogene Daten verarbeitet werden. Viele Anbieter argumentieren deshalb, ihre Zählung sei „anonym" – doch diese Aussage muss technisch belegt werden, nicht behauptet. Entscheidend ist, wo die Anonymisierung stattfindet. Wird ein Videobild erst in die Cloud übertragen und dort ausgewertet, verarbeitet der Anbieter zwischenzeitlich personenbezogene Daten – mit allen Konsequenzen für AVV, Löschfristen und Betroffenenrechte. Findet die Verarbeitung dagegen direkt auf dem Sensor statt und verlassen nur aggregierte Zählwerte das Gerät, ist die Angriffsfläche drastisch kleiner.

Vemco setzt bewusst auf diesen Ansatz: keine Identifikation von Personen, Ausschluss von Mitarbeitenden aus der Zählung und ausschließlich aggregierte Besucherzahlen als Ergebnis. Für die Datenschutz-Folgenabschätzung ist das der Unterschied zwischen einem mehrwöchigen Prüfprozess und einer dokumentierbaren Standardbewertung.

Sicherheitsanforderungen entlang der Datenkette

Wer ein Lastenheft für Besucheranalyse schreibt, sollte die Anforderungen an vier Punkten der Kette festmachen:

• Am Sensor: Verarbeitung on-device, kein persistenter Bildspeicher, signierte Firmware-Updates, deaktivierbare Debug-Schnittstellen. Fragen Sie explizit, ob und wie lange Rohdaten für Kalibrierzwecke auf dem Gerät verbleiben.
• Bei der Übertragung: Verschlüsselung nach aktuellem Stand der Technik, ausgehende Verbindungen statt offener eingehender Ports, klar dokumentierte Ziel-Endpunkte für die Firewall-Freigabe.
• Bei der Speicherung: Datenresidenz vertraglich fixieren, nicht nur mündlich zusichern lassen. Klären Sie, ob eine gehostete Lösung oder eine Private-Cloud-Variante besser zu Ihren internen Richtlinien passt – seriöse Anbieter bieten beides an.
• Beim Zugriff: Rollenbasierte Berechtigungen, Protokollierung administrativer Zugriffe, definierter Prozess für das Offboarding von Nutzerkonten. Prüfen Sie außerdem, wie sich die Plattform in Ihre bestehende Identitäts- und IT-Infrastruktur einfügt.

Was Praktiker wissen: Der Sensor lebt länger als Ihr Laptop

Eine Beobachtung aus vielen Rollouts, die in kaum einem Whitepaper steht: Zählsensoren hängen sieben, acht, manchmal zehn Jahre über dem Eingang – deutlich länger als jeder Client im Unternehmen. Wer den Firmware-Lebenszyklus nicht vertraglich regelt, hat in fünf Jahren ungepatchte IoT-Geräte im Filialnetz, die niemand mehr auf dem Radar hat. Bestehen Sie deshalb auf drei Punkten: eine verbindliche Zusage zur Update-Versorgung über die gesamte Vertragslaufzeit, ein zentrales Management für Firmware-Rollouts (niemand fährt für Updates 200 Filialen ab) und die Segmentierung der Sensoren in ein eigenes VLAN. Letzteres kostet in der Planung einen Nachmittag und erspart im Ernstfall die Diskussion, ob ein kompromittierter Sensor Zugriff auf das Kassennetz hatte.

Die DSFA: Pflicht oder Kür?

Ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zwingend ist, hängt von der Technologie ab. Eine systematische videobasierte Überwachung öffentlich zugänglicher Bereiche steht auf den Muss-Listen mehrerer Aufsichtsbehörden. Eine Zählung, die nachweislich keine Personen identifiziert und nur Aggregate liefert, fällt in der Regel nicht darunter – dokumentieren sollten Sie die Bewertung trotzdem. Der pragmatische Weg für Compliance-Teams:

• Vom Anbieter eine technische Beschreibung der Verarbeitungskette anfordern, inklusive Angabe, an welchem Punkt keine Rückführbarkeit auf Personen mehr besteht.
• Diese Beschreibung als Anlage zur eigenen Schwellwertanalyse nehmen – so ist die Entscheidung gegen eine vollständige DSFA belastbar begründet.
• Die Mitarbeitererfassung gesondert betrachten: Der Ausschluss des Personals aus der Zählung ist nicht nur ein Genauigkeitsthema, sondern auch ein Argument gegenüber dem Betriebsrat, dass keine Leistungskontrolle stattfindet.

Gerade der letzte Punkt wird unterschätzt. In Deutschland scheitern Analytics-Projekte häufiger an einer fehlenden Betriebsvereinbarung als an der DSGVO selbst. Wer dem Betriebsrat früh zeigen kann, dass Mitarbeitende technisch aus den Zählungen ausgeschlossen werden und keine Einzelperson identifizierbar ist, verkürzt die Abstimmung erheblich.

Beschaffung: Die Fragen, die Anbieter trennen

Einkauf und Security sollten im RFP nicht nach „DSGVO-Konformität" fragen – das bejaht jeder. Stellen Sie stattdessen Fragen, deren Antworten überprüfbar sind:

• Welche Subunternehmer sind an der Verarbeitung beteiligt, und in welchen Ländern sitzen sie? (Anlage zum AVV, nicht Fließtext im Angebot.)
• Welche Löschfristen gelten für welche Datenkategorien, und wie wird die Löschung nachgewiesen?
• Wie sieht der Incident-Response-Prozess aus, und innerhalb welcher Frist werden Kunden über Vorfälle informiert – auch dann, wenn nur aggregierte Daten betroffen sind?
• Können Zertifizierungen und Auditberichte vorgelegt werden? Lassen Sie sich die Dokumente zeigen, statt Logos auf der Website zu zählen.
• Wie hoch ist die vertraglich zugesicherte Zählgenauigkeit? Bei Vemco liegt das vertragliche Minimum bei 96 %, in der Praxis werden – abhängig von Lichtverhältnissen, Ladenlayout und Besucherverhalten – typischerweise 98 bis 99 % erreicht. Anbieter, die pauschal 99 % garantieren, ohne die Rahmenbedingungen zu nennen, sollten Sie kritisch hinterfragen.

Der Genauigkeitspunkt gehört in die Sicherheitsdiskussion, weil er über die Datenmenge entscheidet: Systeme mit schwacher On-Device-Erkennung kompensieren das oft, indem sie mehr Rohmaterial in die Cloud schicken – und vergrößern damit genau die Angriffsfläche, die Sie minimieren wollen. Präzision am Sensor und Datensparsamkeit sind zwei Seiten derselben Architekturentscheidung.

Betrieb: Sicherheit endet nicht mit dem Go-live

Nach der Inbetriebnahme verschiebt sich die Verantwortung in den Regelbetrieb. Drei Punkte gehören in die jährliche Überprüfung: die Aktualität des Verzeichnisses von Verarbeitungstätigkeiten (neue Standorte, neue Sensortypen), die Prüfung der Nutzerkonten in der Analytics-Plattform gegen die aktuelle Mitarbeiterliste und ein Blick auf die Subunternehmerliste des Anbieters, die sich über die Vertragslaufzeit ändern kann. Wer diese Prüfungen in bestehende Audit-Zyklen integriert, statt sie als Sonderthema zu behandeln, hält den Aufwand klein. Ein Anbieter, der seit fast zwei Jahrzehnten Zählsysteme in internationalen Filialnetzen betreibt, kennt diese Betriebsrealität und liefert die nötigen Nachweise proaktiv – das ist ein besseres Auswahlkriterium als jede Marketingfolie.

Sie bereiten gerade ein RFP für Besucheranalyse vor oder wollen eine bestehende Installation gegen diese Anforderungen prüfen? Das Team von Vemco Group beantwortet Ihre Fragen zu Datenarchitektur, AVV, Hosting-Optionen und Mitarbeiterausschluss konkret und mit Dokumenten statt Schlagworten: Kontaktieren Sie uns für ein technisches Erstgespräch.