Home/ Projektpläne/ Zutrittskontrolle und Videoüberwachung
Beispiel-Projektplan

Projektplan für die Einführung einer Zutrittskontrolle

Der Projektplan für die Einführung einer Zutrittskontrolle gliedert das Vorhaben in 10 Phasen mit 55 Aufgaben über 16 Wochen und berücksichtigt Videoüberwachung, Datenschutz und Mitbestimmung. Er führt von Anforderungsdefinition und Anbieterauswahl über Datenschutz-Folgenabschätzung, BDSG-Zulässigkeitsprüfung und gegebenenfalls Betriebsvereinbarung bis zu Installation, Einweisung und Go-live. Das Beispiel betrifft ein Logistikunternehmen mit 300 Mitarbeitenden und einem Budget von etwa 158.400 €.

  • 16 Wochen
  • 10 Phasen
  • 55 Aufgaben
  • Budget ca. 158.400 €
Diesen Plan in PathHub öffnen Eigenen Plan erstellen

Ohne Anmeldung · öffnet sofort

Eigenes Vorhaben? Der KI-Projektplan-Generator erstellt dir einen Plan wie diesen aus einer kurzen Beschreibung.

So sieht der Plan in PathHub aus. Klick dich durch die Reiter oder hake Aufgaben ab.

app.pathhub.ai/try?example=access-deLive öffnen
Beispielplan

Einführung eines elektronischen Zutrittskontroll- und Videoüberwachungssystems

Auf dem Werksgelände eines Logistikunternehmens mit 300 Mitarbeitenden wird ein elektronisches Zutrittskontrollsystem mit Videoüberwachung eingeführt. Das Vorhaben umfasst die Anforderungsdefinition, Anbieterauswahl, datenschutz- und arbeitsrechtliche Prüfung, technische Installation sowie Einweisung der Beschäftigten und Betriebsverantwortlichen. Vor dem Go-live werden eine Datenschutz-Folgenabschätzung, die BDSG-Zulässigkeitsprüfung und gegebenenfalls eine Betriebsvereinbarung abgeschlossen. Die rechtskonforme Inbetriebnahme ist innerhalb von 16 Wochen vorgesehen.

Gesamtfortschritt0%
16Wochen
0/10Phasen
0/55Aufgaben
158.400 €Budget
KI-Empfehlung KIKI-Chat KIKI-Tools KI

Phasen

1

Phase 1: Projektstart, Schutzumfang und Betriebsratsstatus

Ausstehend · 1W · 0/3
Projektleitung
0

Diese Phase schafft den verbindlichen organisatorischen Rahmen für das Zutritts- und Videoüberwachungsprojekt. Gleichzeitig werden der Schutzumfang des Werksgeländes und der Status des Betriebsrats geklärt, da davon die weitere rechtliche und betriebliche Vorgehensweise abhängt.

Projektauftrag mit Zielbild, Viermonatsfrist, Budgetrahmen, Entscheidungswegen und Go-live-Kriterien verabschieden
06.10. – 06.10. 1 Tag
Geschäftsführung beziehungsweise Projektauftraggeber
Kontrollumfang für 15–30 Türen, Zufahrten, Besucherbereiche, Lagerzonen und 20–35 Kamerastandorte vorläufig abgrenzen
06.10. – 07.10. 2 Tage
Werks- und Standortleitung
Betriebsratsstatus verbindlich feststellen; bei bestehendem Betriebsrat das Mitbestimmungsverfahren nach § 87 Abs. 1 Nr. 6 BetrVG einplanen, andernfalls die fehlende Mitbestimmungspflicht dokumentieren
06.10. – 06.10. 1 Tag
Personalabteilung und Rechtsabteilung beziehungsweise Compliance
Workshops zu Türen, Toren, Zufahrten, Sicherheitszonen, Besucherwegen und Fremdfirmenzugängen durchführen und eine priorisierte Zutrittspunktliste erstellen
13.10. – 14.10. 2 Tage
Facility Management und Werkschutz
Kamerabereiche mit überwachten und nicht zu überwachenden Zonen kartieren; Pausenräume, Sanitärbereiche und andere besonders schutzbedürftige Bereiche ausdrücklich ausschließen
13.10. – 15.10. 3 Tage
Facility Management und Datenschutzbeauftragte:r
Nutzergruppen für 300 Beschäftigte, Schichtleitungen, Werkschutz, Besucher, Fahrer und Fremdfirmen definieren und den erforderlichen Zutrittsumfang je Gruppe beschreiben
13.10. – 14.10. 2 Tage
Personalabteilung und Logistik- und Schichtverantwortliche
Dateninventar und Datenflüsse für Zutrittsereignisse, Ausweisdaten, Videobilder, Besucherregistrierungen, Administrationsprotokolle und Löschdaten erstellen
13.10. – 15.10. 3 Tage
Datenschutzbeauftragte:r und IT und Informationssicherheit
Biometrische Authentifizierung als Standard ausschließen; falls Anbieter biometrische Funktionen anbieten, deren gesonderte Prüfung nach Art. 9 DSGVO als Entscheidungsbedarf dokumentieren
13.10. – 13.10. 1 Tag
Datenschutzbeauftragte:r und Rechtsabteilung beziehungsweise Compliance
Anforderungen an Schichtwechsel, Warenverkehr, Durchsatz, Notfallzugänge, Strom- und Netzwerkausfall sowie den Ausschluss dauerhafter Leistungs- und Verhaltenskontrolle in einem Anforderungskatalog festschreiben
13.10. – 15.10. 3 Tage
Logistik- und Schichtverantwortliche und IT und Informationssicherheit
Ausschreibungsunterlagen mit Türliste, Kamerabereichen, Nutzergruppen, Schichtanforderungen, Löschfristen, Datenschutzmasken und Abnahmekriterien erstellen
27.10. – 29.10. 3 Tage
Einkauf und Projektleitung
Mindestens drei geeignete Anbieter und Systemintegratoren anhand von Referenzen in Logistikbetrieben, Lieferfähigkeit und Integrationskompetenz vorqualifizieren
27.10. – 28.10. 2 Tage
Einkauf und IT und Informationssicherheit
Angebotsanfragen versenden und verbindliche Termine für Rückfragen, Besichtigungen, Angebote und technische Nachweise festlegen
27.10. – 27.10. 1 Tag
Einkauf
Anforderungen an Auftragsverarbeitung, Unterauftragnehmer, Speicherort, Fernzugriffe, Verschlüsselung, Administrationsrechte, Sicherheitsupdates und Sicherheitsvorfälle in die Vertragsunterlagen aufnehmen
27.10. – 28.10. 2 Tage
Rechtsabteilung beziehungsweise Compliance und Datenschutzbeauftragte:r
Anbieterpräsentationen und technische Demonstrationen zu Zutrittslogik, Videomanagement, Löschroutinen, Rollenmodell und Ausfallbetrieb durchführen
27.10. – 29.10. 3 Tage
IT und Informationssicherheit und Werkschutz
Angebote auf Vollständigkeit prüfen, offene Punkte zu Lieferzeiten, Türkomponenten, Kameramodellen, Schnittstellen und Betriebskosten schriftlich klären
30.10. – 31.10. 2 Tage
Einkauf und Projektleitung
Bewertungsmatrix für Funktionalität, Datenschutz, IT-Sicherheit, Integrationsfähigkeit, Bedienbarkeit im Schichtbetrieb, Lieferzeit und Referenzen anwenden
10.11. – 11.11. 2 Tage
Einkauf und Projektleitung
Technische Eignung für vorhandene Türen, Tore, Netzwerke, Stromversorgung, Server- oder Appliance-Betrieb und Notfallzugänge bewerten
10.11. – 11.11. 2 Tage
IT und Informationssicherheit und Facility Management
Gesamtbetriebskosten, Wartungsmodell, Lizenzstruktur, Ersatzteilverfügbarkeit und Kosten möglicher Nachverkabelungen vergleichen
10.11. – 10.11. 1 Tag
Einkauf und IT und Informationssicherheit
Vergabeempfehlung mit Datenschutz- und Compliance-Vorbehalten erstellen, Geschäftsführungsfreigabe einholen und Auftrag einschließlich Lieferterminen erteilen
10.11. – 11.11. 2 Tage
Geschäftsführung beziehungsweise Projektauftraggeber und Einkauf
Betriebsrat beziehungsweise dessen zuständige Ausschüsse mit Systembeschreibung, Standortplan, Datenflüssen, Nutzerrollen und Anbieterunterlagen informieren
17.11. – 18.11. 2 Tage
Personalabteilung und Projektleitung
Betriebsvereinbarung zu Zweckbindung, überwachten Bereichen, Zugriffsberechtigungen, Speicherdauern, Auswertungsverboten, Protokollzugriffen, Kontrollrechten und Änderungsverfahren verhandeln
17.11. – 20.11. 4 Tage
Personalabteilung und Betriebsrat
Regelungen für Beschäftigtenausweise, Ein- und Austritte, verlorene Ausweise, Besucher, Fremdfirmen, Notfallzugänge und den Schichtbetrieb abstimmen
21.11. – 24.11. 2 Tage
Personalabteilung und Betriebsrat
Entwurf der Betriebsvereinbarung durch Datenschutzbeauftragte:n und Rechtsabteilung beziehungsweise Compliance auf Vereinbarkeit mit DSGVO, BDSG und Projektumfang prüfen lassen
17.11. – 18.11. 2 Tage
Rechtsabteilung beziehungsweise Compliance
Betriebsvereinbarung unterzeichnen und veröffentlichen; falls kein Betriebsrat besteht, eine dokumentierte Prüfung des fehlenden Mitbestimmungstatbestands als Freigabedokument ablegen
17.11. – 17.11. 1 Tag
Geschäftsführung beziehungsweise Projektauftraggeber und Personalabteilung
Verarbeitungsvorgänge, Verantwortlichkeiten, Systeme, Datenkategorien, Empfänger, Aufbewahrungsorte und Betroffenengruppen für Zutrittskontrolle und Videoüberwachung in der DSFA beschreiben
01.12. – 02.12. 2 Tage
Datenschutzbeauftragte:r und IT und Informationssicherheit
Erforderlichkeit und Verhältnismäßigkeit je Kamerabereich und Zutrittspunkt bewerten sowie Zwecke, zulässige Auswertungen und differenzierte Speicherdauern für Video-, Zutritts- und Protokolldaten festlegen
01.12. – 03.12. 3 Tage
Datenschutzbeauftragte:r und Werks- und Standortleitung
Biometrische Funktionen des ausgewählten Systems nach Art. 9 DSGVO bewerten und verbindlich festhalten, dass sie ohne gesonderte Rechtsgrundlage, Notwendigkeitsnachweis und Freigabe nicht aktiviert werden
01.12. – 01.12. 1 Tag
Datenschutzbeauftragte:r und Rechtsabteilung beziehungsweise Compliance
Zugriffskonzept, Löschverfahren, Auskunfts- und Betroffenenprozesse, Protokollauswertung, Sicherheitsvorfallverfahren und regelmäßige Wirksamkeitskontrollen definieren
03.12. – 04.12. 2 Tage
Datenschutzbeauftragte:r und IT und Informationssicherheit
Informationen nach Art. 13 DSGVO für Beschäftigte, Besucher, Fahrer und Fremdfirmen sowie Entwürfe für Hinweisschilder vor überwachten Bereichen erstellen
01.12. – 02.12. 2 Tage
Datenschutzbeauftragte:r und Personalabteilung
DSFA einschließlich Restrisikobewertung, Schutzmaßnahmen, Stellungnahmen der beteiligten Fachbereiche und Freigabe des Datenschutzbeauftragten abschließen
01.12. – 02.12. 2 Tage
Datenschutzbeauftragte:r
Videoüberwachung von Zufahrten, Besucherflächen und sonstigen öffentlich zugänglichen Bereichen nach § 4 BDSG anhand des Standort- und Kameraplans prüfen und begründen
15.12. – 15.12. 1 Tag
Rechtsabteilung beziehungsweise Compliance
Verarbeitung von Beschäftigtendaten nach § 26 BDSG für Zutrittsereignisse, Ausweisverwaltung, Protokolle und Videoaufzeichnungen prüfen; heimliche sowie dauerhafte Leistungs- oder Verhaltenskontrolle ausdrücklich ausschließen
15.12. – 16.12. 2 Tage
Rechtsabteilung beziehungsweise Compliance und Datenschutzbeauftragte:r
Rechtsgrundlagen, Interessenabwägungen, Betriebsvereinbarung, DSFA, Art.-13-Informationen und gegebenenfalls Art.-9-Bewertung in einer rechtlichen Freigabematrix dokumentieren
16.12. – 17.12. 2 Tage
Rechtsabteilung beziehungsweise Compliance
Finalen Kamera- und Türstandortplan mit Blickrichtungen, Datenschutzmasken, Montagehöhen, Leitungswegen und betriebsfreien Installationsfenstern verifizieren
22.12. – 23.12. 2 Tage
Anbieter und Systemintegrator und Facility Management
Tür- und Torhardware, Controller, Leser, Verriegelungen, Stromversorgung, Netzwerkports und Notentriegelungen technisch dimensionieren
22.12. – 23.12. 2 Tage
Anbieter und Systemintegrator und IT und Informationssicherheit
Rollen- und Berechtigungsmatrix für Beschäftigte, Schichtleitungen, Werkschutz, Personalabteilung, IT-Administration und Dienstleister konfigurieren und ein Genehmigungsverfahren hinterlegen
22.12. – 24.12. 3 Tage
IT und Informationssicherheit und Personalabteilung
Videomanagement, Speicherbereiche, abgestufte Aufbewahrungsfristen, automatisierte Löschroutinen und Sperrung von Exportfunktionen konfigurieren
22.12. – 24.12. 3 Tage
Anbieter und Systemintegrator und Datenschutzbeauftragte:r
Netzwerksegmentierung, Administrationszugänge, Mehrfaktor-Authentifizierung, Verschlüsselung, Protokollierung, Patchstand und abgesicherte Fernwartung umsetzen
22.12. – 24.12. 3 Tage
IT und Informationssicherheit
Zutrittszeitpläne für Schichten, Pausen, Wochenenden, Feiertage, Besucher und Fremdfirmen sowie Notfall- und Fallback-Berechtigungen einrichten
22.12. – 23.12. 2 Tage
Werkschutz und Logistik- und Schichtverantwortliche
Gelieferte Kameras, Leser, Controller, Server- oder Appliance-Komponenten und Ausweismedien anhand einer Stückliste prüfen und Abweichungen dokumentieren
22.12. – 23.12. 2 Tage
Einkauf und Anbieter und Systemintegrator
Firmware, Softwareversionen, Grundkonfigurationen und sichere Standardpasswörter in einer getrennten Vorinstallationsumgebung einrichten
24.12. – 26.12. 3 Tage
Anbieter und Systemintegrator und IT und Informationssicherheit
Schnittstelle zur Personal- oder Verzeichnisverwaltung für Eintritte, Austritte, Rollenänderungen und Ausweisdeaktivierung vorbereiten und mit Testdaten prüfen
25.12. – 29.12. 3 Tage
IT und Informationssicherheit und Personalabteilung
Installations-, Migrations-, Rückfall- und Notfallhandbuch mit Sperrzeiten, Ersatzverfahren, Ansprechpartnern und Wiederanlaufabfolge erstellen
22.12. – 23.12. 2 Tage
Projektleitung und Anbieter und Systemintegrator
Zutrittsleser, Controller, Türkomponenten, Ausweisleser und erforderliche elektrische Komponenten an den freigegebenen Türen und Toren installieren
05.01. – 09.01. 5 Tage
Anbieter und Systemintegrator und Facility Management
Kameras montieren, Sichtfelder nach Standortplan ausrichten, Datenschutzmasken aktivieren und nicht erforderliche Bildbereiche ausblenden
05.01. – 08.01. 4 Tage
Anbieter und Systemintegrator und Datenschutzbeauftragte:r
Videomanagement, Zutrittskontroller, Netzwerk, Speicher, Verzeichnis- oder Personal-Schnittstelle und Administrationsrollen integrieren
05.01. – 08.01. 4 Tage
Anbieter und Systemintegrator und IT und Informationssicherheit
Hinweisschilder und mehrstufige Informationen nach Art. 13 DSGVO vor allen überwachten Bereichen anbringen beziehungsweise auslegen und anhand einer Standortliste dokumentieren
05.01. – 05.01. 1 Tag
Datenschutzbeauftragte:r und Facility Management
Zutritts- und Videofunktionen mit berechtigten und unberechtigten Ausweisen, Schichtwechseln, Besucherprofilen, Fremdfirmenprofilen und gesperrten Ausweisen testen
05.01. – 06.01. 2 Tage
Werkschutz und Anbieter und Systemintegrator
Löschung nach festgelegter Speicherdauer, Rollen- und Rechtebeschränkung, Administrationsprotokollierung, Exportkontrolle und Wiederherstellung aus Sicherungen testen
05.01. – 07.01. 3 Tage
IT und Informationssicherheit und Datenschutzbeauftragte:r
Verhalten bei Strom- und Netzwerkausfall, Brandalarm, Flucht- und Rettungswegen, Notentriegelung, manueller Zutrittsfreigabe und Betriebsunterbrechung im Warenverkehr prüfen und Mängelliste abarbeiten
05.01. – 06.01. 2 Tage
Facility Management und Werkschutz und Logistik- und Schichtverantwortliche
Administratoren, Werkschutz, Schichtleitungen, Personalabteilung und IT-Betrieb zu Rollenvergabe, Ausweisverwaltung, Protokollzugriff, Löschung, Störungsbearbeitung und Notfallverfahren einweisen
19.01. – 20.01. 2 Tage
Anbieter und Systemintegrator und IT und Informationssicherheit
Beschäftigte, Fremdfirmen und regelmäßige Besucher über Zutrittsregeln, Ausweispflichten, überwachte Bereiche, Informationsrechte und zulässige Systemnutzung informieren
19.01. – 20.01. 2 Tage
Personalabteilung und Werks- und Standortleitung
Restmängel, Bedienungsfehler, offene Dokumentationspunkte und Übergabeunterlagen prüfen und eine unterschriebene Abnahmebescheinigung erstellen
19.01. – 20.01. 2 Tage
Projektleitung und Anbieter und Systemintegrator
Go-live-Readiness-Prüfung mit DSFA, BDSG-Freigabe, Art.-13-Informationen, Beschilderungsnachweis und Betriebsvereinbarung beziehungsweise dokumentiertem Betriebsratsstatus durchführen
19.01. – 19.01. 1 Tag
Datenschutzbeauftragte:r und Rechtsabteilung beziehungsweise Compliance
System kontrolliert in Betrieb nehmen, erste Betriebswoche mit verstärktem Support absichern und Betrieb an Werksleitung, Werkschutz und IT übergeben
19.01. – 20.01. 2 Tage
Werks- und Standortleitung und IT und Informationssicherheit
In der App öffnen: Phasen

Timeline

Timeline 10 PhasenStart: 06.10.2026
Phase / Aufgabe
Okt 2026
Nov 2026
Dez 2026
Jan 2027
KW 106.10
KW 320.10
KW 503.11
KW 717.11
KW 901.12
KW 1115.12
KW 1329.12
KW 1512.01
Projektstart, Schutzumfang und Betriebsratsstatus06.10. – 12.10. · 1 Wo. · 0/3
Projektstart, Schutzumfang und Betriebsratsstatus
Fachliche, technische und datenschutzrechtliche Anforderungen13.10. – 26.10. · 2 Wo. · 0/6
Fachliche, technische und datenschutzrechtliche Anforderungen
Anbietermarkt, Ausschreibung und Compliance-Anforderungen27.10. – 09.11. · 2 Wo. · 0/6
Anbietermarkt, Ausschreibung und Compliance-Anforderungen
Anbietervergleich und Vergabeentscheidung10.11. – 16.11. · 1 Wo. · 0/4
Anbietervergleich und Vergabeentscheidung
Betriebsratsbeteiligung und Betriebsvereinbarung17.11. – 30.11. · 2 Wo. · 0/5
Betriebsratsbeteiligung und Betriebsvereinbarung
Datenschutz-Folgenabschätzung und Informationskonzept01.12. – 14.12. · 2 Wo. · 0/6
Datenschutz-Folgenabschätzung und Informationskonzept
BDSG-Zulässigkeitsprüfung und rechtliche Freigaben15.12. – 21.12. · 1 Wo. · 0/3
BDSG-Zulässigkeitsprüfung und rechtliche Freigaben
Technische Detailplanung, Beschaffung und Vorinstallation22.12. – 04.01. · 2 Wo. · 0/10
Technische Detailplanung, Beschaffung und Vorinstallation
Installation, Beschilderung und Abnahmetests05.01. – 18.01. · 2 Wo. · 0/7
Installation, Beschilderung und Abnahmetests
Einweisung, Abnahme und Inbetriebnahme19.01. – 25.01. · 1 Wo. · 0/5
Einweisung, Abnahme und Inbetriebnahme
GeplantIn ArbeitAbgeschlossenBlockiertMeilensteine
In der App öffnen: Timeline

Budget

Budget: 158.400 €
Videoüberwachung, Software und Speicher · 48.600 €Zutrittskontrollhardware · 46.800 €Verkabelung, Montage und Elektrotechnik · 28.800 €Datenschutz, Recht und Betriebsrat · 12.600 €Projektsteuerung und interne Fachleistungen · 10.800 €Konfiguration, Tests, Einweisung und Go-live · 10.800 €
Videoüberwachung, Software und Speicher48.600 €
PositionMengeEinzelpreisGesamt
IP-Kameras für Außenbereiche, Zufahrten, Eingänge und sicherheitsrelevante Zonen28 Stück700 €19.600 €
Zutrittskontroll- und Videomanagementlizenzen einschließlich Herstellersupport im ersten Jahr1 Pauschal12.580 €12.580 €
Aufzeichnungsserver beziehungsweise Speicher-Appliance gemäß freigegebener Speicherdauer und Löschroutine1 Pauschal9.000 €9.000 €
Kamera-Halterungen, Wetterschutz, Infrarot- und Datenschutzzubehör einschließlich Maskierungsoptionen28 Stück265 €7.420 €
Zutrittskontrollhardware46.800 €
PositionMengeEinzelpreisGesamt
RFID-Leser und Zutrittscontroller für kontrollierte Türen und Zugangszonen24 Stück650 €15.600 €
Elektronische Beschläge, Türöffner und Türmodule einschließlich Montagezubehör24 Stück850 €20.400 €
RFID-Ausweise für 300 Mitarbeitende sowie Reserve-, Besucher- und Fremdfirmenkarten360 Stück18 €6.480 €
Notfall-, Fluchtweg- und Türüberwachungskomponenten einschließlich Sicherheitszubehör1 Pauschal4.320 €4.320 €
Verkabelung, Montage und Elektrotechnik28.800 €
PositionMengeEinzelpreisGesamt
Netzwerk-, Daten- und Stromverkabelung einschließlich Leitungswege und Installationsmaterial1 Pauschal9.500 €9.500 €
Montage und Installation von Kameras, Lesern, Controllern und Türkomponenten im laufenden Betrieb12 Personentage750 €9.000 €
Elektrotechnische Arbeiten an Türen, Toren, Zufahrten und Notfallzugängen6 Personentage700 €4.200 €
PoE-Switches, USV-Komponenten, Netzwerksegmentierung und technische Infrastruktur1 Pauschal6.100 €6.100 €
Datenschutz, Recht und Betriebsrat12.600 €
PositionMengeEinzelpreisGesamt
Datenschutz-Folgenabschätzung nach Art. 35 DSGVO einschließlich Zweckbindung und Speicherdauer, Abschluss in Phase 6, KW 9–104 Personentage1.100 €4.400 €
Zulässigkeitsprüfung nach § 4 und § 26 BDSG einschließlich Ausschluss dauerhafter Leistungs- und Verhaltenskontrolle, Phase 7, KW 112 Personentage1.200 €2.400 €
Unterstützung beim Abschluss der Betriebsvereinbarung nach § 87 Abs. 1 Nr. 6 BetrVG beziehungsweise Statusdokumentation bei fehlendem Betriebsrat, Phasen 1 und 53 Personentage1.100 €3.300 €
Art.-13-Informationskonzept und freigabefertige Hinweistexte für Beschäftigte, Besucher und Fremdfirmen, Phase 61 Personentage900 €900 €
Prüfung biometrischer Funktionen nach Art. 9 DSGVO und dokumentierte Entscheidung für Ausweis-/Leserverfahren, Phasen 2 und 62 Personentage800 €1.600 €
Projektsteuerung und interne Fachleistungen10.800 €
PositionMengeEinzelpreisGesamt
Projektleitung und Governance über alle Phasen einschließlich Go-live-Steuerung6 Personentage900 €5.400 €
IT- und Informationssicherheitskoordination für Netzwerk, Rollen, Protokollierung und Notfallzugänge3 Personentage800 €2.400 €
Standortaufnahme und Betriebsablaufkoordination durch Facility Management und Werkschutz3 Personentage600 €1.800 €
Einkaufs- und Personalaufwand für Vergabe, Nutzerprozesse und Betriebsratskoordination2 Personentage600 €1.200 €
Konfiguration, Tests, Einweisung und Go-live10.800 €
PositionMengeEinzelpreisGesamt
Konfiguration von Rollen, Zutrittsrechten, Löschregeln, Protokollierung und Schnittstellen einschließlich Runbook5 Personentage850 €4.250 €
Technische Abnahmetests für Berechtigungen, Löschung, Protokollzugriffe, Ausfallszenarien und Fallback-Verfahren2 Personentage850 €1.700 €
Einweisung von Administration, Werkschutz, Schichtleitungen und Beschäftigten in mehreren Schichtterminen4 Personentage700 €2.800 €
Druck und Montage der Hinweisschilder nach Art. 13 DSGVO vor überwachten Bereichen in Phase 9, KW 14–151 Pauschal2.050 €2.050 €
In der App öffnen: Budget

Risiken

Hoch

Verzögerte Betriebsratsbeteiligung

Wenn bis Ende KW 1 nicht geklärt ist, ob ein Betriebsrat besteht, oder der Entwurf der Betriebsvereinbarung erst nach KW 5 vorliegt, kann die erforderliche Vereinbarung nach § 87 Abs. 1 Nr. 6 BetrVG nicht bis Ende KW 8 abgeschlossen werden. Ein produktiver Einsatz der Überwachungstechnik wäre dann möglicherweise unzulässig.

Gegenmaßnahme: Personalabteilung und Rechtsabteilung klären den Betriebsratsstatus bis Ende KW 1, erstellen bis KW 5 einen Verhandlungsentwurf und schließen die Betriebsvereinbarung spätestens in KW 8 ab. Ohne Vereinbarung oder dokumentierten Nachweis über das Nichtbestehen eines Betriebsrats erteilt die Projektleitung keine Go-live-Freigabe.
Hoch

Unzureichende Datenschutz-Folgenabschätzung

Wenn Kamerawinkel, überwachte Bereiche, Zwecke, Speicherdauern, Zugriffsrechte oder Datenflüsse bis Ende KW 3 nicht ausreichend festgelegt sind, kann die Datenschutz-Folgenabschätzung in KW 9–10 Nachbesserungen verlangen und den Go-live gefährden.

Gegenmaßnahme: Datenschutzbeauftragte:r, IT, Facility Management und Werkschutz definieren bis Ende KW 3 die datensparsamen Zielkonfigurationen. Die Datenschutz-Folgenabschätzung wird bis Ende KW 10 abgeschlossen, einschließlich Maskierung nicht erforderlicher Bereiche, begrenzter Speicherdauer, Rollenmodell und dokumentierter Restrisiken.
Hoch

Unzulässige Nutzung zur Leistungs- oder Verhaltenskontrolle

Wenn Zutrittsprotokolle oder Videodaten zur dauerhaften Überwachung von Arbeitsleistung, Aufenthaltsdauer, Pausen oder Bewegungsmustern verwendet werden, kann die Verarbeitung von Beschäftigtendaten nach § 26 BDSG und der Betriebsvereinbarung unzulässig sein.

Gegenmaßnahme: Rechtsabteilung, Datenschutzbeauftragte:r und Betriebsrat legen bis KW 8 verbindliche Zwecke und Nutzungsverbote fest. IT und Werkschutz trennen Sicherheits- und Personalprozesse technisch, deaktivieren nicht erforderliche Analysefunktionen und führen ab KW 15 stichprobenartige Berechtigungs- und Zweckbindungskontrollen durch.
Hoch

Unzulässige biometrische Authentifizierung

Wenn ein Anbieter im Angebot oder in der Standardkonfiguration Gesichtserkennung, Fingerabdruck oder andere biometrische Verfahren vorsieht, kann eine Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ausgelöst werden.

Gegenmaßnahme: Einkauf schließt biometrische Funktionen in der Ausschreibung grundsätzlich aus. Datenschutzbeauftragte:r und Rechtsabteilung dokumentieren bis Ende KW 3 die Entscheidung für Ausweis- oder PIN-Verfahren; eine biometrische Funktion darf nur nach gesonderter Art.-9-Prüfung und Freigabe bis KW 5 eingesetzt werden und bleibt bis dahin deaktiviert.
Hoch

Liefer-, Integrations- und Kostenverzug beim Anbieter

Wenn die Vergabe nach KW 6 erfolgt, Hardware nach KW 10 geliefert wird, Türkomponenten nicht kompatibel sind oder zusätzliche Verkabelungsarbeiten den Budgetpuffer von 12 % überschreiten, kann die Installation innerhalb der Viermonatsfrist scheitern.

Gegenmaßnahme: Einkauf vereinbart bis Ende KW 6 verbindliche Liefer-, Integrations- und Abnahmetermine, Festpreise für den definierten Leistungsumfang sowie Eskalations- und Ersatzlieferregelungen. IT und der Systemintegrator prüfen Schnittstellen und kritische Komponenten vor Bestellung; die Projektleitung überwacht Kosten und Lieferstatus wöchentlich ab KW 4.
Hoch

Betriebsunterbrechung und Beeinträchtigung von Flucht- und Rettungswegen

Wenn während der Installation Zufahrten, Tore, Türen oder Fluchtwege im laufenden Schicht- und Warenverkehr blockiert werden, können Lieferprozesse, Schichtwechsel und Notfallabläufe beeinträchtigt werden.

Gegenmaßnahme: Facility Management, Werkschutz und Arbeitssicherheit erstellen bis KW 12 ein Installations- und Verkehrslenkungskonzept mit Sperrzeiten, Ersatzwegen, Freigabeprozessen und Rückbauplan. Die Installation erfolgt abschnittsweise in abgestimmten Zeitfenstern; Fluchtwege und Notfallzugänge werden vor der Abnahme in KW 15 praktisch getestet.
Hoch

Fehlende Verfügbarkeit oder fehlerhafte Zutrittsentscheidungen

Wenn Netzwerk, Stromversorgung, Server, Lesegeräte oder Offline-Funktionen im Schichtbetrieb ausfallen, können berechtigte Mitarbeitende ausgesperrt oder unberechtigte Zugänge ermöglicht werden.

Gegenmaßnahme: IT und Systemintegrator definieren bis KW 13 ein abgestimmtes Failover-, Notfall- und Fallback-Konzept mit USV, Offline-Zutrittsrechten, mechanischen Notfallzugängen und manuellen Freigabeprozessen. Ausfall-, Wiederanlauf- und Sperrtests werden in KW 15 dokumentiert; die Werksleitung genehmigt die betrieblichen Notfallverfahren vor dem Go-live.
Hoch

Unzureichender Schutz von Video- und Zutrittsdaten

Wenn Standardpasswörter, ungesicherte Fernzugriffe, übermäßige Administrationsrechte oder fehlende Protokollierung bestehen bleiben, können Videoaufzeichnungen und Zutrittsdaten unbefugt eingesehen, verändert oder abgeführt werden.

Gegenmaßnahme: IT und Informationssicherheit härten das System bis KW 13 mit Netzwerksegmentierung, Mehrfaktor-Authentifizierung, rollenbasierten Rechten, Verschlüsselung, Protokollierung und deaktivierten Standardkonten. Der Datenschutzbeauftragte und die Informationssicherheit prüfen die Konfiguration sowie Fernzugriffe und Protokolle in KW 15 vor der technischen Abnahme.
Mittel

Unvollständige Information und verspätete Beschilderung

Wenn Hinweise nach Art. 13 DSGVO nicht vor den überwachten Bereichen angebracht werden oder Angaben zu Verantwortlichem, Zweck, Rechtsgrundlage, Speicherdauer und Betroffenenrechten fehlen, darf der jeweilige Überwachungsbereich nicht rechtskonform in Betrieb gehen.

Gegenmaßnahme: Datenschutzbeauftragte:r erstellt und genehmigt die Hinweistexte bis KW 10. Facility Management beschafft und montiert die Schilder spätestens bis Ende KW 13; Projektleitung und Datenschutzbeauftragte:r prüfen die Beschilderung in KW 14 und sperren die Aktivierung nicht gekennzeichneter Bereiche.
Mittel

Geringe Akzeptanz und Fehlbedienung im Schichtbetrieb

Wenn Beschäftigte, Fremdfirmen und Schichtverantwortliche nicht rechtzeitig eingewiesen werden, Ausweise gemeinsam nutzen oder Ein- und Austritte nicht zeitnah im Berechtigungssystem verarbeitet werden, entstehen Umgehungen, Fehlalarme und unzulässige Zugriffe.

Gegenmaßnahme: Personalabteilung, IT und Werkschutz definieren bis KW 14 einen verbindlichen Joiner-Mover-Leaver-Prozess, verbieten gemeinsam genutzte Ausweise und schulen alle Schichten, Fremdfirmen und relevanten Besucher in KW 15–16. Die Berechtigungsentziehung bei Austritt und die Einweisung werden vor der Inbetriebnahme dokumentiert.
In der App öffnen: Risiken

Stakeholder

GB

Geschäftsführung beziehungsweise Projektauftraggeber

Entscheidet über Budget, Risikotoleranz, Anbieterbeauftragung und Go-live.

Einbinden: Ab Phase 1; erneut zu Vergabe, Abnahme und Go-live
WU

Werks- und Standortleitung

Verantwortet Sicherheitsziele, Betriebsablauf, Sperrzeiten und betriebliche Freigabe.

Einbinden: Ab Phase 1; intensiv während Detailplanung und Installation
D

Datenschutzbeauftragte:r

Prüft Rechtsgrundlagen, Zweckbindung, Speicherdauer, DSFA, Art.-13-Informationen und mögliche Biometrie.

Einbinden: Ab Phase 1 bis zur finalen Datenschutzfreigabe
BF

Betriebsrat, falls vorhanden

Besitzt bei überwachungsgeeigneter Technik regelmäßig Mitbestimmungsrechte und verhandelt die Betriebsvereinbarung.

Einbinden: Ab Phase 1; Verhandlungsschwerpunkt spätestens in Phase 5
P

Personalabteilung

Verantwortet Prozesse für Beschäftigtendaten, Berechtigungen, Ein- und Austritte sowie Einweisungen.

Einbinden: Ab Phase 2; federführend bei der Betriebsvereinbarung
IU

IT und Informationssicherheit

Legt Netzwerksegmentierung, Identitätsverwaltung, Protokollierung, Speicher- und Zugriffsschutz fest.

Einbinden: Ab Phase 2 bis zur technischen Abnahme
FM

Facility Management und Werkschutz

Definieren Türen, Zufahrten, Sicherheitszonen, Kamerastandorte, Notfallzugänge und Fluchtwege.

Einbinden: Ab Phase 2; intensiv bei Planung, Installation und Tests
LU

Logistik- und Schichtverantwortliche

Stellen sicher, dass Schichtwechsel, Warenverkehr sowie Fahrer- und Besucherzugänge funktionsfähig bleiben.

Einbinden: Ab Phase 2; besonders vor und während der Installation
E

Einkauf

Steuert Ausschreibung, Angebotsvergleich, Vertragsverhandlung und verbindliche Liefertermine.

Einbinden: Ab Phase 3 bis zur Beauftragung
RB

Rechtsabteilung beziehungsweise Compliance

Prüft BDSG-Zulässigkeit, Beschäftigtendatenschutz, Auftragsverarbeitung und Vertragsklauseln.

Einbinden: Ab Phase 3 bis zur rechtlichen Freigabe
BF

Beschäftigte, Fremdfirmen und regelmäßige Besucher

Sind von Zutrittsregeln und Überwachung betroffen und müssen transparent informiert werden.

Einbinden: Bedarfserhebung ab Phase 6; Information vor dem Go-live
AU

Anbieter und Systemintegrator

Verantworten Lösungsauslegung, Lieferung, Konfiguration, Installation, Tests, Dokumentation und Einweisung.

Einbinden: Ab Phase 3 bis zur Betriebsübergabe
In der App öffnen: Stakeholder

Compliance

Pflicht 7

Datenschutz-Folgenabschätzung nach Art. 35 DSGVO einschließlich Schutzumfang, Zwecke, Datenflüsse, Speicherdauern, Löschkonzept, Berechtigungen und Restrisikobewertung durchführen; Abschluss vor der Verarbeitung spätestens Ende KW 10

Datenschutzbeauftragte:r, IT, Facility Management, Werkschutz Phase 2–6, KW 2–10; Abschluss ca. 6 Wochen vor Go-live
Pflicht
Regel aus der Compliance-Bibliothek
DSGVO / GDPR(EU 2016/679)
  • Rechtsgrundlage für jede Verarbeitung personenbezogener Daten (Einwilligung, Vertrag, gesetzliche Pflicht, berechtigtes Interesse)
  • Vollständiges Verarbeitungsverzeichnis (Art. 30) für alle Prozesse
  • Auftragsverarbeitungsverträge (AVV / DPA) mit allen Dienstleistern
  • Datenschutz-Folgenabschätzung (DSFA) bei Hochrisiko-Verarbeitungen
  • Technische und organisatorische Maßnahmen (TOM) dokumentiert

Bei Verstoß: Bußgelder bis 20 Mio. EUR oder 4% des weltweiten Konzernjahresumsatzes, je nachdem, welcher Betrag höher ist. Plus zivilrechtliche Schadenersatzansprüche Betroffener.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz

Informationen nach Art. 13 DSGVO erstellen und Hinweisschilder vor allen überwachten Bereichen anbringen; Angaben zu Verantwortlichem, Zweck, Rechtsgrundlage, Speicherdauer und Betroffenenrechten müssen vor Aktivierung sichtbar sein

Datenschutzbeauftragte:r und Facility Management Phase 6 und 8–9, KW 9–14; Anbringung spätestens Ende KW 13, Prüfung in KW 14
Pflicht
Regel aus der Compliance-Bibliothek
DSGVO / GDPR(EU 2016/679)
  • Rechtsgrundlage für jede Verarbeitung personenbezogener Daten (Einwilligung, Vertrag, gesetzliche Pflicht, berechtigtes Interesse)
  • Vollständiges Verarbeitungsverzeichnis (Art. 30) für alle Prozesse
  • Auftragsverarbeitungsverträge (AVV / DPA) mit allen Dienstleistern
  • Datenschutz-Folgenabschätzung (DSFA) bei Hochrisiko-Verarbeitungen
  • Technische und organisatorische Maßnahmen (TOM) dokumentiert

Bei Verstoß: Bußgelder bis 20 Mio. EUR oder 4% des weltweiten Konzernjahresumsatzes, je nachdem, welcher Betrag höher ist. Plus zivilrechtliche Schadenersatzansprüche Betroffener.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz

Zulässigkeit der Videoüberwachung nach § 4 BDSG für öffentlich zugängliche Bereiche sowie der Verarbeitung von Beschäftigtendaten nach § 26 BDSG prüfen und dokumentieren; heimliche oder dauerhafte Leistungs- und Verhaltensüberwachung ausschließen

Rechtsabteilung beziehungsweise Compliance, Datenschutzbeauftragte:r, Betriebsrat Phase 7, KW 11–12; verbindliche Freigabe spätestens Ende KW 12, 4 Wochen vor Go-live
Pflicht
Regel aus der Compliance-Bibliothek
Bundesdatenschutzgesetz(BDSG)
  • Datenschutzbeauftragten bestellt (ab 20 MA mit regelmäßiger Datenverarbeitung)
  • Beschäftigtendatenschutz: Datenminimierung + Zweckbindung im HR-Kontext
  • Videoüberwachung mit Schildern und Zweckbegründung
  • BR-Beteiligung bei personenbezogenen HR-Datenverarbeitungen

Bei Verstoß: Bußgelder bis 50.000 EUR bei Verstößen gegen §§41-43 BDSG. DSGVO-Bußgelder (bis 20 Mio. EUR / 4%) gelten parallel.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz

Betriebsvereinbarung zur Überwachungstechnik nach § 87 Abs. 1 Nr. 6 BetrVG abschließen, sofern ein Betriebsrat besteht; andernfalls den fehlenden Betriebsratsstatus nachvollziehbar dokumentieren

Personalabteilung, Rechtsabteilung, Betriebsrat Phase 1 und 5, KW 1–8; Abschluss spätestens Ende KW 8, 8 Wochen vor Go-live
Pflicht
Regel aus der Compliance-Bibliothek
Betriebsverfassungsgesetz (BetrVG)
  • Betriebsrat-Wahl initiieren/ermöglichen ab 5 wahlberechtigten Arbeitnehmern
  • Mitbestimmung bei Arbeitszeit, Überwachungssystemen, IT-Einführung (§87)
  • Anhörung vor jeder Kündigung (§102), schriftlich mit Begründung
  • Interessenausgleich und Sozialplan bei Betriebsänderungen (§111)

Bei Verstoß: Unwirksamkeit von Kündigungen ohne BR-Anhörung. Ordnungswidrigkeiten bis 10.000 EUR je Verstoß. Strafbarkeit (§119) bei Behinderung des BR bis 1 Jahr Haft.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz

Biometrische Verfahren nach Art. 9 DSGVO bewerten und grundsätzlich ausschließen; falls eine biometrische Authentifizierung erforderlich sein sollte, ist vor Beschaffung und Einsatz eine gesonderte Rechtsgrundlage-, Erforderlichkeits- und Verhältnismäßigkeitsprüfung erforderlich

Datenschutzbeauftragte:r, Rechtsabteilung, Einkauf Phase 2–3, KW 2–5; Entscheidung gegen Biometrie spätestens Ende KW 3
Pflicht
Regel aus der Compliance-Bibliothek
DSGVO / GDPR(EU 2016/679)
  • Rechtsgrundlage für jede Verarbeitung personenbezogener Daten (Einwilligung, Vertrag, gesetzliche Pflicht, berechtigtes Interesse)
  • Vollständiges Verarbeitungsverzeichnis (Art. 30) für alle Prozesse
  • Auftragsverarbeitungsverträge (AVV / DPA) mit allen Dienstleistern
  • Datenschutz-Folgenabschätzung (DSFA) bei Hochrisiko-Verarbeitungen
  • Technische und organisatorische Maßnahmen (TOM) dokumentiert

Bei Verstoß: Bußgelder bis 20 Mio. EUR oder 4% des weltweiten Konzernjahresumsatzes, je nachdem, welcher Betrag höher ist. Plus zivilrechtliche Schadenersatzansprüche Betroffener.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz

Auftragsverarbeitung und Verantwortlichkeiten des Anbieters nach Art. 28 DSGVO prüfen und vertraglich regeln, einschließlich Unterauftragnehmern, Fernzugriffen, Weisungsbindung, Sicherheitsmaßnahmen, Löschung und Rückgabe der Daten

Rechtsabteilung, Einkauf, Datenschutzbeauftragte:r Phase 3–4, KW 4–6; Vertrag vor Systemzugriff und Datenverarbeitung
Pflicht
Regel aus der Compliance-Bibliothek
DSGVO / GDPR(EU 2016/679)
  • Rechtsgrundlage für jede Verarbeitung personenbezogener Daten (Einwilligung, Vertrag, gesetzliche Pflicht, berechtigtes Interesse)
  • Vollständiges Verarbeitungsverzeichnis (Art. 30) für alle Prozesse
  • Auftragsverarbeitungsverträge (AVV / DPA) mit allen Dienstleistern
  • Datenschutz-Folgenabschätzung (DSFA) bei Hochrisiko-Verarbeitungen
  • Technische und organisatorische Maßnahmen (TOM) dokumentiert

Bei Verstoß: Bußgelder bis 20 Mio. EUR oder 4% des weltweiten Konzernjahresumsatzes, je nachdem, welcher Betrag höher ist. Plus zivilrechtliche Schadenersatzansprüche Betroffener.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO umsetzen: Rollen- und Berechtigungskonzept, starke Authentifizierung, Netzwerksegmentierung, Verschlüsselung, Protokollierung, Patchmanagement, Notfallverfahren und sichere Löschung

IT und Informationssicherheit, Systemintegrator Phase 8–9, KW 12–15; Wirksamkeitstest spätestens Ende KW 15
Pflicht
Regel aus der Compliance-Bibliothek
DSGVO / GDPR(EU 2016/679)
  • Rechtsgrundlage für jede Verarbeitung personenbezogener Daten (Einwilligung, Vertrag, gesetzliche Pflicht, berechtigtes Interesse)
  • Vollständiges Verarbeitungsverzeichnis (Art. 30) für alle Prozesse
  • Auftragsverarbeitungsverträge (AVV / DPA) mit allen Dienstleistern
  • Datenschutz-Folgenabschätzung (DSFA) bei Hochrisiko-Verarbeitungen
  • Technische und organisatorische Maßnahmen (TOM) dokumentiert

Bei Verstoß: Bußgelder bis 20 Mio. EUR oder 4% des weltweiten Konzernjahresumsatzes, je nachdem, welcher Betrag höher ist. Plus zivilrechtliche Schadenersatzansprüche Betroffener.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz
Wichtig 1

Interne Informationssicherheits-, Zutritts- und Löschrichtlinien sowie eine BSI-orientierte Sicherheitsbaseline in die Systemkonfiguration und Betriebsübergabe übernehmen

IT und Informationssicherheit, Werksleitung, Projektleitung Phase 2 und 8, KW 2–13; Freigabe vor Installation spätestens Ende KW 13
Wichtig
Regel aus der Compliance-Bibliothek
ISO 27001 (Informationssicherheit)(ISO 27001:2022)
  • Informationssicherheits-Managementsystem (ISMS) definiert
  • Risikobewertung und -behandlung dokumentiert
  • Statement of Applicability (SoA) mit Controls aus Anhang A
  • Internes Audit und Management-Review jährlich

Bei Verstoß: Freiwillige Norm, aber de-facto Pflicht für Enterprise-/Behörden-Kunden. Verlust beendet Geschäftsbeziehungen.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz
In der App öffnen: Compliance

Meilensteine

  1. Woche 1

    Freigegebener Projektauftrag mit abgegrenztem Schutzumfang und dokumentiertem Betriebsratsstatus

    Voraussetzung: Benennung von Projektauftraggeber, Projektleitung und Kernteam
  2. Woche 3

    Abgenommener fachlicher und technischer Anforderungskatalog einschließlich Standortplan, Dateninventar und dokumentierter Biometrie-Entscheidung

    Voraussetzung: Freigegebener Projektauftrag und Zugang zu Standort- und Prozessinformationen
  3. Woche 5

    Auswertbare Angebote mit bestätigten Datenschutz-, Sicherheits-, Liefer- und Integrationsanforderungen

    Voraussetzung: Abgenommener Anforderungskatalog und veröffentlichte Ausschreibung
  4. Woche 6

    Beauftragter Anbieter mit verbindlichem Liefer-, Installations- und Abnahmetermin

    Voraussetzung: Vollständige Angebote, Anbieterbewertung und Vergabefreigabe
  5. Woche 8

    Unterzeichnete Betriebsvereinbarung zur Überwachungstechnik oder dokumentierter Nachweis, dass kein Betriebsrat besteht

    Voraussetzung: Frühzeitig geklärter Betriebsratsstatus, abgestimmtes Systemkonzept und erfolgreiche Verhandlungen
  6. Woche 10

    Abgeschlossene und freigegebene DSFA mit festgelegten Zwecken, Speicherdauern, Schutzmaßnahmen und freigabefertigen Art.-13-Informationen

    Voraussetzung: Finalisiertes Lösungskonzept, Datenflüsse, Kamerasichtfelder und Biometrie-Entscheidung
  7. Woche 11

    Dokumentierte BDSG-Zulässigkeitsprüfung und rechtliche Freigabematrix für öffentlich zugängliche Bereiche und Beschäftigtendaten

    Voraussetzung: Freigegebene DSFA, Zweckdefinition und festgelegte Nutzungsszenarien
  8. Woche 13

    Installationsbereite, vorkonfigurierte Lösung mit freigegebenem Rollenmodell, Löschkonzept, Sicherheitskonfiguration und Installationsrunbook

    Voraussetzung: Anbieterbeauftragung, rechtliche Vorgaben, technische Detailplanung und verfügbare Hardware
  9. Woche 15

    Bestandenes technisches, datenschutzrechtliches und betriebliches Abnahmeprotokoll einschließlich dokumentierter Beschilderung und geschlossenem kritischem Mängelstatus

    Voraussetzung: Installationsbereite Lösung, abgeschlossene Montage und angebrachte Art.-13-Hinweise
  10. Woche 16

    Formale Abnahme und rechtskonformer Go-live des Zutrittskontroll- und Videoüberwachungssystems

    Voraussetzung: Freigegebene DSFA und BDSG-Prüfung, gegebenenfalls Betriebsvereinbarung, bestandene Abnahmetests und abgeschlossene Einweisung
In der App öffnen: Meilensteine

So ist dieser Plan entstanden

Dieser Plan wurde von PathHub AI aus einer einzigen Beschreibung erstellt: „Einführung eines elektronischen Zutrittskontrollsystems mit Videoüberwachung am Werksgelände eines Logistikunternehmens mit 300 Mitarbeitenden: Anbieterauswahl, Datenschutz-Folgenabschätzung, Betriebsvereinbarung, Installation und Einweisung. Inbetriebnahme in vier Monaten.“ Ohne Unternehmenskontext. Mit deinen Abteilungen, Freigabeprozessen und Compliance-Vorgaben wird er deutlich genauer.

Pflichten

Pflichten mit Vorlauf: Daran denken viele zu spät

Diese Pflichten löst die Einführung einer Zutrittskontrolle typischerweise aus (Beispiel Deutschland). PathHub AI plant sie mit Vorlauf ein, warnt bei zu knappem Zeitplan und zeigt unter „Regel & Nachweise“ die Regel mit Kriterien, die du abhakst und mit Nachweisen belegst. Keine Rechtsberatung.

Datenschutz-Folgenabschätzung durchführen, Zweck und Speicherdauer festlegen, Hinweisschilder anbringen (DSGVO Art. 13, 35)
Pflicht 3–6 Wochen vor dem Go-livegesetzlich
Regel & Nachweise

Warum: Überwachung greift stark in Persönlichkeitsrechte von Beschäftigten und Besuchern ein.

Rechtsgrundlage: Art. 35 DSGVO: Bei systematischer Überwachung ist vorab eine Datenschutz-Folgenabschätzung nötig; Hinweisschilder bzw. Informationen nach Art. 13 DSGVO vor Inbetriebnahme. Biometrische Daten sind besonders geschützt (Art. 9).

Regel aus der Compliance-Bibliothek
DSGVO / GDPREU 2016/679
Kriterien
  • Rechtsgrundlage für jede Verarbeitung personenbezogener Daten (Einwilligung, Vertrag, gesetzliche Pflicht, berechtigtes Interesse)
  • Vollständiges Verarbeitungsverzeichnis (Art. 30) für alle Prozesse
  • Auftragsverarbeitungsverträge (AVV / DPA) mit allen Dienstleistern
  • Datenschutz-Folgenabschätzung (DSFA) bei Hochrisiko-Verarbeitungen
  • Technische und organisatorische Maßnahmen (TOM) dokumentiert

Bei Verstoß: Bußgelder bis 20 Mio. EUR oder 4% des weltweiten Konzernjahresumsatzes, je nachdem, welcher Betrag höher ist. Plus zivilrechtliche Schadenersatzansprüche Betroffener.

Nachweise: In PathHub hakst du die Kriterien ab und legst je Punkt Nachweise als Datei, Link oder Notiz ab. Alles lässt sich als PDF-Nachweisbericht exportieren.
Zulässigkeit nach BDSG prüfen (öffentlich zugängliche Bereiche, Beschäftigtendaten) und dokumentieren
Pflicht 2–4 Wochen vor dem Go-livegesetzlich
Regel & Nachweise

Warum: Für Beschäftigte und öffentlich zugängliche Flächen gelten zusätzliche nationale Grenzen.

Rechtsgrundlage: § 4 BDSG regelt die Videoüberwachung öffentlich zugänglicher Räume, § 26 BDSG die Verarbeitung von Beschäftigtendaten; eine heimliche oder dauerhafte Leistungsüberwachung ist in der Regel unzulässig.

Regel aus der Compliance-Bibliothek
BundesdatenschutzgesetzBDSG
Kriterien
  • Datenschutzbeauftragten bestellt (ab 20 MA mit regelmäßiger Datenverarbeitung)
  • Beschäftigtendatenschutz: Datenminimierung + Zweckbindung im HR-Kontext
  • Videoüberwachung mit Schildern und Zweckbegründung
  • BR-Beteiligung bei personenbezogenen HR-Datenverarbeitungen

Bei Verstoß: Bußgelder bis 50.000 EUR bei Verstößen gegen §§41-43 BDSG. DSGVO-Bußgelder (bis 20 Mio. EUR / 4%) gelten parallel.

Nachweise: In PathHub hakst du die Kriterien ab und legst je Punkt Nachweise als Datei, Link oder Notiz ab. Alles lässt sich als PDF-Nachweisbericht exportieren.
Betriebsvereinbarung zur Überwachungstechnik abschließen
Wichtig 6–12 Wochen vor dem Go-liveRichtwert
Regel & Nachweise

Warum: Ohne Einigung mit dem Betriebsrat darf die Technik nicht in Betrieb gehen.

Gilt: nur wenn ein Betriebsrat besteht

Rechtsgrundlage: § 87 Abs. 1 Nr. 6 BetrVG: Kameras, Ortung und Zutrittssysteme sind typische technische Einrichtungen zur Verhaltens- oder Leistungskontrolle.

Regel aus der Compliance-Bibliothek
Betriebsverfassungsgesetz (BetrVG)
Kriterien
  • Betriebsrat-Wahl initiieren/ermöglichen ab 5 wahlberechtigten Arbeitnehmern
  • Mitbestimmung bei Arbeitszeit, Überwachungssystemen, IT-Einführung (§87)
  • Anhörung vor jeder Kündigung (§102), schriftlich mit Begründung
  • Interessenausgleich und Sozialplan bei Betriebsänderungen (§111)

Bei Verstoß: Unwirksamkeit von Kündigungen ohne BR-Anhörung. Ordnungswidrigkeiten bis 10.000 EUR je Verstoß. Strafbarkeit (§119) bei Behinderung des BR bis 1 Jahr Haft.

Nachweise: In PathHub hakst du die Kriterien ab und legst je Punkt Nachweise als Datei, Link oder Notiz ab. Alles lässt sich als PDF-Nachweisbericht exportieren.
Alle typischen Vorhaben und ihre Pflichten: Interne Projekte planen

Häufig gestellte Fragen

Wie lange dauert die Einführung einer Zutrittskontrolle?
Im Beispielplan dauert die Einführung einer Zutrittskontrolle 16 Wochen in 10 Phasen. Die tatsächliche Dauer hängt von Unternehmensgröße, Ausgangslage und verfügbaren Ressourcen ab, mit deinem Unternehmenskontext passt PathHub den Zeitplan entsprechend an.
Was kostet die Einführung einer Zutrittskontrolle?
Der Beispielplan kalkuliert rund 158.400 €, aufgeteilt auf 25 Budgetpositionen mit Menge und Einzelpreis. Die größten Posten sind Videoüberwachung, Software und Speicher, Zutrittskontrollhardware. Es handelt sich um eine KI-Schätzung als Ausgangspunkt, nicht um ein Angebot.
Welche Risiken gibt es bei die Einführung einer Zutrittskontrolle?
Der Plan nennt 10 Risiken mit Gegenmaßnahmen. Am höchsten bewertet sind: Verzögerte Betriebsratsbeteiligung; Unzureichende Datenschutz-Folgenabschätzung; Unzulässige Nutzung zur Leistungs- oder Verhaltenskontrolle.
Wer muss bei die Einführung einer Zutrittskontrolle beteiligt werden?
Der Plan sieht unter anderem diese Beteiligten vor: Geschäftsführung beziehungsweise Projektauftraggeber, Werks- und Standortleitung, Datenschutzbeauftragte:r, Betriebsrat, falls vorhanden, Personalabteilung, IT und Informationssicherheit. Für jede Rolle ist angegeben, warum und ab wann sie einzubeziehen ist.
Kann ich den Plan an mein Unternehmen anpassen?
Ja. Öffne den Plan ohne Anmeldung in PathHub, passe Phasen und Aufgaben an oder beschreibe dein eigenes Vorhaben. Mit Unternehmenskontext (Abteilungen, Freigabeprozesse, Betriebsrat, Compliance-Vorgaben) wird jeder weitere Plan genauer.

Weitere Projektplan-Beispiele

Projektplan: CRM-Einführung

15 Wochen · 6 Phasen · 33 Aufgaben

Projektplan: Büroumzug

11 Wochen · 6 Phasen · 38 Aufgaben

Projektplan: ISO-27001-Zertifizierung

29 Wochen · 10 Phasen · 65 Aufgaben

Projektplan: NIS2-Umsetzung

29 Wochen · 10 Phasen · 83 Aufgaben

Diesen Plan für dein Unternehmen anpassen

Öffne den Plan in PathHub, ohne Anmeldung. Oder beschreib dein eigenes Vorhaben und erhalte in wenigen Minuten einen vollständigen Plan.

Plan öffnen →