Kundenschlüssel und Zutrittsnotizen in der Reinigungsfirma

Eine Reinigungsfirma in Winterthur betreut elf Haushalte und zwei Büros. Für die meisten hat sie einen Schlüssel, für einige nur die Auskunft, dass er im Schlüsselkasten neben der Haustür liegt. Die Schlüssel hängen in einem Schrank im Büro, jeder mit einem Anhänger, auf dem Nachname und Strasse stehen. Die Auskünfte zum Zutritt stehen auf einem Blatt in der Mappe, und die Mitarbeiterin, die am Montag das Büro an der Seestrasse reinigt, nimmt sich den Schlüssel selbst.

Das funktioniert, solange alle sich kennen. Es wird heikler, wenn zwei weitere Personen mitarbeiten, wenn jemand einen Schlüssel über das Wochenende mitnimmt oder wenn ein Kunde kündigt und niemand mehr weiss, ob der Schlüssel zurückgegeben wurde. Dieser Beitrag beschreibt, welche Angaben dabei zusammenkommen und welche Möglichkeiten es gibt, sie zu führen.

Drei Angaben, die zusammen mehr sagen als einzeln

Eine Reinigungsfirma, die in Wohnungen und Büros arbeitet, hält drei Dinge fest, die für sich genommen unauffällig sind:

Angabe	Was sie für sich sagt
Adresse des Objekts	wo gereinigt wird
Zutrittsnotiz	wie man hineinkommt, etwa Schlüsselkasten oder Tür
Schlüssel und sein Stand	wer ihn gerade hat

Zusammen ergeben sie, wie man in eine bestimmte Wohnung kommt. Das ist der Grund, weshalb solche Angaben sorgfältiger behandelt werden als etwa eine Preisliste. Rechtlich sind sie Personendaten: Art. 5 Bst. a des Datenschutzgesetzes (DSG) versteht darunter alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen, und eine Wohnadresse mit Zutrittsangaben gehört dazu. Auch das Schlüsselverzeichnis betrifft Personen, denn es hält fest, welche Mitarbeitenden wann einen Schlüssel hatten.

Für die Firma folgt daraus nichts Aussergewöhnliches. Es gelten die allgemeinen Grundsätze des DSG, und zwei davon prägen den Umgang mit Schlüsseln besonders.

Was das Gesetz allgemein verlangt

Verhältnismässigkeit und Zweck. Nach Art. 6 Abs. 2 und 3 DSG muss die Bearbeitung verhältnismässig sein und darf nur zu einem bestimmten, erkennbaren Zweck erfolgen. Für die Zutrittsnotiz ist der Zweck eng: Sie soll sagen, wie die Person, die den Einsatz hat, ins Objekt kommt. Alles darüber hinaus, etwa Gewohnheiten der Bewohner oder Angaben zu ihrer Gesundheit, braucht dafür keinen Platz.

Datensicherheit. Art. 8 DSG verlangt vom Verantwortlichen geeignete technische und organisatorische Massnahmen für eine dem Risiko angemessene Datensicherheit. Die Datenschutzverordnung (DSV) nennt in Art. 3 Abs. 1 Bst. a die Zugriffskontrolle: Berechtigte Personen sollen nur auf diejenigen Personendaten Zugriff haben, die sie zur Erfüllung ihrer Aufgaben benötigen. Für eine Reinigungsfirma heisst das übersetzt: Wer am Dienstag ein Treppenhaus reinigt, braucht dessen Zutrittsnotiz, aber nicht die der anderen Objekte.

Was in eine Zutrittsnotiz gehört

Die Zutrittsnotiz soll einen Satz tragen: wo der Schlüssel zu finden ist oder welche Tür gemeint ist. Manche Firmen halten bewusst fest, was sie nicht hineinschreiben, nämlich Tür- und Alarmcodes. Die Codes geben sie ihren Mitarbeitenden auf einem anderen Weg, etwa mündlich oder am Telefon. Der Gedanke dahinter ist einfach: Eine Notiz, die mehrere Personen lesen, soll nichts enthalten, womit man ohne Weiteres ein Objekt betreten kann.

Zum Ort des Schlüssels gibt es eine Beobachtung der Polizei. Die Schweizerische Kriminalprävention (SKP) schreibt in ihrer Broschüre «Riegel vor!», Einbrecher vermuteten bei Schlüsseltresoren immer sofort, dass irgendwo im Haus noch ein Ersatzschlüssel versteckt sei; sie suchten ihn und fänden ihn meistens sogar. Die Broschüre äussert sich dort zum Tresor in der eigenen Wohnung, nicht zu Reinigungsfirmen. Sie zeigt aber, dass Verstecke als Orte gelten, die andere kennen oder finden. Manche Firmen beschreiben den Ort eines Schlüsselkastens am Haus deshalb nur so genau, wie es für den Einsatz nötig ist.

Neutrale Nummern statt Namen am Schlüssel

Der Anhänger am Schlüssel ist der Teil, den man am ehesten verliert. Trägt er Namen und Adresse, ist ein verlorener Schlüssel sofort einem Objekt zuzuordnen. Trägt er nur eine Nummer, etwa «K-014», braucht es das Verzeichnis, um zu wissen, wohin er gehört.

Ein solches System hat drei Bestandteile:

• Die Nummer. Eine fortlaufende, neutrale Kennung ohne Namen, Strasse oder Ort.
• Das Verzeichnis. Zu jeder Nummer das Objekt, die Anzahl der Schlüssel und das Datum der Übergabe durch die Kundschaft.
• Der Verlauf. Wer den Schlüssel wann übernommen, zurückgegeben oder verloren gemeldet hat, jeweils mit Datum.

Der Verlauf beantwortet die Frage, die im Alltag am häufigsten auftaucht: Wo ist K-014? Er hat daneben eine zweite Wirkung. Da er Namen der Mitarbeitenden enthält, gehört er selbst zu den Personendaten und unterliegt dem Zweckprinzip: Er dient der Schlüsselverwaltung und nicht der Überwachung von Mitarbeitenden.

Wer was sieht

In einer Firma mit fünf Personen ergeben sich verschiedene Bedürfnisse:

Person	Braucht
Mitarbeitende im Einsatz	die Zutrittsnotiz des Objekts, an dem sie arbeiten, am Tag des Einsatzes
Disposition	alle Notizen und das Verzeichnis, um zu planen
Inhaberin oder Inhaber	alles, mit Nachvollziehbarkeit, wer was angesehen hat

Der Leitfaden des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu den technischen und organisatorischen Massnahmen beschreibt die Logik am Beispiel von Serverräumen: Je weniger Personen zutrittsberechtigt sind, desto besser die Sicherheit, und der Zutritt wird protokolliert. Ein Serverraum ist kein Kundenobjekt, die Überlegung lässt sich aber auf Schlüssel und Notizen übertragen: so wenige Personen wie nötig, und nachvollziehbar, wer Zugriff hatte.

Zeitlich lässt sich die Sicht ebenfalls begrenzen. Eine Mitarbeiterin braucht die Notiz am Tag ihres Einsatzes; nach dem Einsatz oder nach einer Umteilung braucht sie sie nicht mehr.

Wenn ein Auftrag endet

Hier greift Art. 6 Abs. 4 DSG: Personendaten werden vernichtet oder anonymisiert, sobald sie für den Zweck der Bearbeitung nicht mehr erforderlich sind. Der Zweck der Zutrittsnotiz ist der Zutritt für Einsätze. Endet der Auftrag, entfällt er.

Praktisch stellen sich zwei Fragen, die sich trennen lassen:

• Der Schlüssel. Er geht an die Kundschaft zurück. Dass er zurückgegeben wurde, hält der Verlauf fest, und eine kurze Bestätigung an die Kundschaft kann das belegen.
• Die Notiz. Sie kann nach einer festgelegten Frist gelöscht werden, etwa einigen Wochen nach Ende des Auftrags, damit sie nicht jahrelang in der Mappe oder im System bleibt.

Der Verlauf der Schlüsselübergaben ist ein anderer Fall als die Notiz, weil er auch dokumentiert, dass ein Schlüssel zurückging. Wie lange eine Firma ihn führt, ist ihre Entscheidung. Eine festgelegte Frist lässt sich nennen, wenn jemand wissen möchte, wie lange Daten aufbewahrt werden.

Was bei einem Schlüsselverlust vertraglich und versicherungsrechtlich gilt, hängt vom Auftrag und von der Police der Firma ab. Das behandelt dieser Beitrag nicht.

Eine Ordnung, die zur Firma passt

Zusammengefasst besteht eine Ordnung für Kundenschlüssel aus wenigen Teilen: Notizen, die nur sagen, wie man hineinkommt, Schlüssel mit neutralen Nummern, ein Verlauf, wer sie hatte, Sicht nach Bedarf und eine Frist für das Löschen. Das DSG gibt dazu den Rahmen, die Umsetzung ist Sache der Firma und hängt von ihrer Grösse und ihren Kundinnen ab.

Die Idee für Reinigungsfirmen, an der wir arbeiten, nimmt diese Ordnung auf: Die App wird zu jedem Objekt eine Zutrittsnotiz führen, die verdeckt bleibt, bis jemand sie anzeigt, und sie den Mitarbeitenden nur am Tag ihres Einsatzes zeigen. Schlüssel werden neutrale Nummern erhalten, und jede Übergabe wird im Verlauf stehen. Endet ein Objekt, soll die Notiz nach einer Frist gelöscht werden. Die Daten wird sie auf Infrastruktur in der Schweiz speichern.