Rollen und Zutrittsrechte in Ferienwohnungen: Schlüssel, Codes und sensible Daten sicher steuern

Eine Person sollte in einer Ferienwohnung nur jene Räume, Schlüssel, Codes, Daten und Funktionen nutzen dürfen, die sie für eine konkrete Aufgabe, ein bestimmtes Objekt und einen begrenzten Zeitraum benötigt. Ein funktionierender Schlüssel beweist noch keine gültige Berechtigung. Dasselbe gilt für einen bekannten Türcode, ein aktives Benutzerkonto oder den Zugriff auf eine Kameraaufnahme.

Professionelle Zutrittssteuerung verbindet deshalb vier Fragen: Wer ist die handelnde Person? In welcher Rolle handelt sie? Worauf darf sie zugreifen? Wann und zu welchem Zweck gilt diese Freigabe? Fehlt eine dieser Antworten, entsteht aus Bequemlichkeit ein Sicherheitsrisiko. Das betrifft die Reinigungskraft mit einem Dauerschlüssel ebenso wie den ehemaligen Co-Host mit einem weiter funktionierenden Login oder den Gast, der einen Code an zusätzliche Personen weitergibt.

Die Aufgabe beginnt nach der Buchung. Buchungsplattform, PMS, Türsystem und operative Fallsteuerung erfüllen unterschiedliche Funktionen. Wie diese Systeme voneinander abzugrenzen sind, erläutert der Fachbeitrag über Airbnb, Vrbo, PMS und den Betrieb nach der Buchung.

Zugriff bedeutet mehr als einen Benutzeraccount

Im Unterkunftsbetrieb existieren mehrere Zugriffsarten gleichzeitig. Sie dürfen nicht zu einem einzigen pauschalen Recht zusammengezogen werden.

Physischer Zutritt

Ein Schlüssel, eine Schlüsselkopie, eine Keybox, ein Smart-Lock-Code oder eine geöffnete Nebentür ermöglicht den Zugang zu einem realen Raum. Die Berechtigung kann für eine ganze Unterkunft, einen Technikraum, ein Lager oder lediglich ein bestimmtes Zeitfenster gelten.

Digitaler Datenzugriff

Gästename, Telefonnummer, Aufenthaltsdaten, Nachrichten, Ausweisinformationen, Fotos, Rechnungen und interne Fallnotizen sind unterschiedliche Datenkategorien. Wer eine Wohnung reinigt, braucht normalerweise keine Identitätsdokumente. Wer eine Rechnung prüft, muss nicht automatisch private Gästekommunikation lesen können.

Bearbeitungs- und Entscheidungsrechte

Lesen, kommentieren, ändern, zuweisen, freigeben, erstatten und administrieren sind getrennte Handlungen. Eine Person kann einen Schaden dokumentieren, ohne über Haftung oder Kosten zu entscheiden. Ein Operator kann eine Massnahme koordinieren, ohne eine Plattformbeschwerde verbindlich abzuschliessen.

Zugriff auf Kameras, Sensoren und Aufzeichnungen

Wer ein zulässiges Aussengerät installieren darf, darf dessen Bilder nicht automatisch jederzeit ansehen, exportieren oder weitergeben. Standort, Zweck, Plattformregel, Datenschutz, Ereignisbezug, Aufbewahrung und berechtigter Personenkreis müssen separat geklärt sein.

Die Grundregel lautet damit: Wer eine Tür öffnen darf, benötigt nicht automatisch Gästedaten. Wer Gästedaten sieht, darf nicht automatisch einen Zutrittscode erzeugen. Wer einen Vorfall prüft, darf nicht automatisch seine eigene frühere Freigabe bestätigen.

Was die Oprivia-Marktstudie als wiederkehrende Sicherheitslücke zeigt

Die Oprivia-Marktstudie zeigt wiederkehrende Konflikte rund um weitergegebene Codes, unklare Schlüsselverantwortung, zusätzliche oder nicht angemeldete Personen, fortbestehende Partnerzugänge, manipulierte Sicherheitseinrichtungen und fehlende Eskalationen. Auch ungewöhnliche Zutrittswege über Fenster, Balkon oder Dach sowie Aufenthalte ohne klar verantwortliche erwachsene Person treten als betriebliche Risikomuster auf.

Diese Beobachtung ist keine Aussage über die Häufigkeit eines bestimmten Verhaltens und kein Generalverdacht gegenüber Gästen oder Dienstleistern. Sie zeigt eine andere Schwäche: Sobald Berechtigungen nur in Chats, Köpfen oder gemeinsam genutzten Konten bestehen, kann der Betreiber später kaum beantworten, wer welchen Zugang erhalten, weitergegeben, geändert oder beendet hat.

Rolle, Person und Organisation sind nicht dasselbe

Eine Reinigungsfirma ist eine Organisation. Die Person, die an einem bestimmten Dienstag eine Wohnung übernimmt, ist ein einzelner Mensch. „Reinigung“ ist ihre Rolle im konkreten Auftrag. Diese drei Ebenen müssen verbunden, aber getrennt steuerbar bleiben.

• Person: das eindeutig zuordenbare Konto oder die nachweisbar beauftragte Person;
• Organisation: beispielsweise Eigentümerschaft, Betreiber, Reinigungsunternehmen oder Technikpartner;
• Rolle: die definierte Funktion mit einem begrenzten Verantwortungs- und Rechteumfang.

Der NIST-Ansatz zu Role-Based Access Control, kurz RBAC, ordnet Berechtigungen Rollen und Benutzer diesen Rollen zu. Im Unterkunftsbetrieb muss die Rolle zusätzlich mit Organisation, Objekt und Arbeitsfall verbunden werden. Genau diese Verbindung beschreibt Oprivia öffentlich als Zugriff nach Rolle, Organisation, Objekt und Arbeitsfall.

Eine Bezeichnung wie „Manager“ oder „Co-Host“ reicht nicht. Sie sagt noch nicht, für welche Unterkünfte, Daten und Entscheidungen die Person zuständig ist. Auch Eigentum erzeugt keinen automatischen Vollzugriff auf sämtliche Gästedaten.

Wer typischerweise welche Verantwortung trägt

Eigentümerin oder Eigentümer

Die Eigentümerschaft entscheidet im vertraglich vorgesehenen Umfang über das Objekt, bauliche Massnahmen, dauerhafte Schliesssysteme und wesentliche Kosten. Daraus folgt nicht automatisch das Recht, jede Gastnachricht oder jedes Identitätsdokument zu sehen. Der erforderliche Datenzugriff hängt von Zweck, Vertrag und gesetzlichen Pflichten ab.

Host oder Betreiber

Der Host oder Betreiber verantwortet den vereinbarten Aufenthalt und die operative Organisation. Er benötigt eine breite Übersicht, muss intern aber weiterhin zwischen Gästebetreuung, Zutritt, Sicherheit, Zahlung, Qualität und Streitentscheidung unterscheiden.

Co-Host oder Stellvertretung

Ein Co-Host erhält delegierte Rechte. Sie können Gästekommunikation, Check-in-Koordination oder bestimmte Objekte umfassen. Die Delegation sollte weder unbefristet noch automatisch identisch mit dem Vollzugriff des Haupt-Hosts sein.

Operator oder Service Department

Ein Operator oder ein internes Service Department bearbeitet zugewiesene Aufenthalte, Vorfälle und Aufgaben. Mitarbeitende benötigen die Informationen und Handlungen ihres Zuständigkeitsbereichs, nicht zwingend die Sicht auf das gesamte Portfolio.

Reinigung, Wartung und externe Partner

Ein Partner erhält Adresse, Zeitfenster, Aufgabe, notwendige Objektangaben und einen kontrollierten Zutritt. Die auftragsbezogene Steuerung von Gästeanliegen und Partnerleistungen verhindert, dass ein einzelner Auftrag zum Dauerzugriff auf alle Einheiten wird. Für die Reinigung kommen definierte Standards und eine nachvollziehbare Freigabe hinzu. Der Beitrag über Reinigungsqualität und operative Nachweise vertieft diesen Ablauf.

Gast und zusätzliche Personen

Der Gast erhält einen auf den Aufenthalt beschränkten Zutritt. Zusätzliche Personen dürfen nicht deshalb als berechtigt gelten, weil sie den Code kennen oder einen Schlüssel in der Hand halten. Buchung, gemeldete Gäste, Hausregeln, Belegung und Plattformbedingungen müssen zusammenpassen.

Admin- und Governance-Funktion

Eine Admin-Rolle verwaltet technische Rechte. Eine Governance-Funktion prüft Regeln, Ausnahmen und Eskalationen. Beide dürfen nicht stillschweigend zu einer unbegrenzten operativen Entscheidungsrolle verschmelzen. Kritische Ausnahmen müssen begründet, zeitlich begrenzt und nachträglich überprüfbar sein.

RBAC allein genügt bei Ferienwohnungen nicht

Eine Rolle beantwortet, welche Art von Handlung grundsätzlich zulässig sein kann. Für die konkrete Freigabe braucht es mindestens fünf zusätzliche Bedingungen:

1. Objekt: Für welche Liegenschaft, Einheit oder Standortgruppe gilt der Zugriff?
2. Aufenthalt oder Aufgabe: Gilt er allgemein oder nur für einen bestimmten Vorgang?
3. Handlung: Darf die Person lesen, ändern, öffnen, zuweisen, exportieren oder freigeben?
4. Zeit: Wann beginnt und endet die Berechtigung?
5. Status und Risiko: Ist der Fall offen, eskaliert, abgeschlossen oder für weitere Änderungen gesperrt?

OWASP empfiehlt für digitale Systeme, Zugriffe standardmässig zu verweigern, Berechtigungen bei jeder Anfrage zu prüfen und den geringstmöglichen erforderlichen Umfang zu gewähren. Dieses Least-Privilege- und Deny-by-Default-Prinzip lässt sich auf den physischen Betrieb übertragen. Ein Partner bekommt nicht vorsorglich jeden Schlüssel. Eine neue Mitarbeiterin startet nicht mit Vollzugriff. Eine frühere Berechtigung bleibt nach einem Rollenwechsel nicht aus Bequemlichkeit aktiv.

Diese Grundsätze entsprechen zugleich der Richtung von ISO/IEC 27001 für Informationssicherheits-Managementsysteme und ISO/IEC 27002 für Informationssicherheitsmassnahmen: Zugriffe müssen risikobezogen gesteuert, Verantwortlichkeiten geklärt und sicherheitsrelevante Ereignisse nachvollziehbar behandelt werden. Daraus folgt weder eine ISO-Zertifizierung von Oprivia noch eine Zertifizierung des jeweiligen Betriebs.

Prävention beginnt mit einer Karte aller Zugangsmittel

Viele Betreiber kennen ihre digitalen Benutzerkonten, aber nicht alle physischen und technischen Zugangsmittel. Eine objektspezifische Zugangskarte sollte mindestens erfassen:

• Originalschlüssel, freigegebene Kopien und mechanische Masterkeys;
• Gastcodes, Partnercodes, Mastercodes und Notfallcodes;
• Keyboxen, Smart Locks, Garagen-, Lift- und Gebäudezugänge;
• Nebentüren, Fenster, Balkone, Dach- und Technikzugänge;
• Plattform-, PMS-, E-Mail- und Kommunikationskonten;
• Kameras, Türklingeln, Gegensprechanlagen, Sensoren und Smart-Home-Geräte;
• Personen, die Codes erzeugen, Schlüssel ausgeben oder Aufzeichnungen ansehen können.

Für jedes Element braucht es einen Eigentümer der Kontrolle, einen berechtigten Personenkreis, einen Zweck, einen Wechsel- oder Rückgabeprozess und einen Eskalationsweg. Eine Liste ohne Verantwortlichkeit ist nur Inventar. Eine Freigabe ohne Enddatum ist häufig ein künftiger Altzugang.

Schlüssel und Schlüsselkopien sind verwaltete Berechtigungen

Eine Kopie ist nicht bloss ein zweites Stück Metall. Sie ist eine neue Berechtigung, die unabhängig weitergegeben, verloren oder nach dem Ende einer Zusammenarbeit behalten werden kann. Deshalb sollte jede genehmigte Ausgabe festhalten:

• betroffene Einheit und Schlüsselart;
• Empfängerin oder Empfänger und Organisation;
• Zweck und erlaubter Nutzungsumfang;
• Ausgabe, Rückgabe und bestätigter Entzug;
• bekannte Kopien, Verlust oder Verdacht auf unkontrollierte Vervielfältigung;
• Entscheidung, ob Zylinder, Schlüsselplan oder Berechtigung geändert werden muss.

Ob eine Kopie im Einzelfall erlaubt ist, richtet sich nach Eigentumsverhältnis, Miet- oder Verwaltungsvertrag, Schliesssystem und Freigabe. Eine pauschale Aussage wäre falsch. Betrieblich gilt dennoch: Eine nicht genehmigte oder nicht mehr kontrollierbare Kopie ist ein Sicherheitsereignis.

Die Reaktion hängt vom Risiko ab. Ein verlorener Einzelschlüssel ohne Objektbezug kann anders bewertet werden als ein beschrifteter Masterkey. Der Betreiber sollte nicht nur eine Rückgabe anfordern, sondern prüfen, ob der Zugang technisch noch widerrufbar ist. Bei einem mechanischen Schlüssel kann das einen Zylinderwechsel erfordern.

Codes und Lockboxen dürfen keinen unsichtbaren Dauerzugriff schaffen

Gastcode

Ein Gastcode sollte dem richtigen Aufenthalt zugeordnet, erst zum erforderlichen Zeitpunkt gültig und nach dessen Ende unwirksam sein. Wird er an zusätzliche Personen weitergegeben, ist nicht nur die Nachricht falsch adressiert. Die Kontrollannahme des gesamten Zutritts ist gebrochen.

Partnercode

Reinigung und Technik benötigen möglichst einen auf Objekt, Auftrag und Zeitfenster begrenzten Zugang. Ein allgemeiner Code für alle Partner spart kurzfristig Arbeit, macht aber eine spätere Zuordnung nahezu unmöglich.

Mastercode und Notfallzugriff

Mastercodes gehören zu besonders begrenzten Rollen. Ihre Verwendung sollte sichtbar sein und nach einem Personalwechsel, einer Offenlegung oder einem Sicherheitsereignis überprüft werden. Ein Notfallzugriff darf schnell sein, aber nicht heimlich.

Keybox oder Lockbox

Bei einer Lockbox müssen nicht nur Code und Wechselintervall stimmen. Auch Standort, Befestigung, Zustimmung der Eigentümerschaft, Mietvertrag, Hausordnung, Gemeinschaftsflächen und lokales Recht können relevant sein. Verlangt die Montage Bohrungen oder eine andere Veränderung der Mietsache, setzt Art. 260a OR grundsätzlich die schriftliche Zustimmung der Vermieterschaft voraus. Bei abnehmbaren Boxen hängt die Einordnung von Vertrag, Hausordnung, Platzierung und Eigentum an der verwendeten Fläche ab. Eine Plattformfreigabe ersetzt diese Prüfungen nicht. Der gesonderte Beitrag zu Keybox, Smart Lock und persönlicher Übergabe behandelt die Wahl und Einrichtung der Zugangsmethode. Dieser Beitrag konzentriert sich darauf, wer sie nutzen darf.

Fenster, Balkon und Dach sind keine alternativen Check-in-Wege

Aus Foren und Betreiberberichten sind Situationen bekannt, in denen Personen nach einem fehlgeschlagenen Zutritt über ein Fenster, einen Balkon oder ein Dach in eine Unterkunft gelangten. Solche Schilderungen sind keine Häufigkeitsstatistik und beweisen im Einzelfall keine Straftat. Betrieblich ist die Einordnung trotzdem klar: Ein nicht freigegebener Zugangspfad ist eine Sicherheitsausnahme, selbst wenn die Person eine gültige Buchung hat.

Die erste Reaktion sollte weder körperliche Konfrontation noch vorschnelle rechtliche Etikettierung sein. Sinnvoll ist ein abgestufter Ablauf:

1. unmittelbare Gefahr für Personen, Absturz, Einbruchschutz oder Gebäudesicherheit prüfen;
2. Identität, Aufenthalt und behaupteten Anlass über den vorgesehenen Kommunikationsweg verifizieren;
3. Beobachtungen, Zeitpunkt und betroffenen Zugang neutral dokumentieren;
4. Fenster, Schloss, Alarm, Code und mögliche Schäden kontrollieren lassen;
5. zuständige Host-, Betreiber- oder Governance-Rolle informieren;
6. bei akuter Gefahr oder ungeklärtem gewaltsamem Zutritt geeignete externe Hilfe beiziehen.

Der Vorfall zeigt zugleich eine Präventionslücke. Erreichbarkeit, regulärer Ersatzweg und Eskalationsstelle müssen vor der Anreise feststehen. Ein improvisierter Zugang über die Gebäudehülle darf nicht zur stillschweigend akzeptierten Lösung eines Lockouts werden.

Wenn ein Erwachsener bucht und eine minderjährige Person allein lässt

Ein Erwachsener kann eine Buchung organisatorisch veranlassen, ohne selbst vor Ort zu bleiben. Das macht den Host jedoch nicht zur Betreuungsperson. Airbnb erlaubt inzwischen einen geregelten Buchungsvorgang für eine andere Person, bei dem Bucher und reisende Person sichtbar verbunden werden. Gleichzeitig verlangt Airbnb, dass Kontoinhaber mindestens 18 Jahre alt sind und Personen unter 18 während einer Airbnb-Reservierung von einem Erwachsenen begleitet werden.

Damit ist eine Situation, in der ein Elternteil die Unterkunft verlässt und eine minderjährige Tochter oder einen minderjährigen Sohn allein zurücklässt, nicht als gewöhnliche Schlüsselübergabe zu behandeln. Der Host sollte weder eine Aufsichtspflicht versprechen noch das Kind ohne Prüfung sich selbst überlassen. Er muss aber auch vermeiden, ohne Einwilligung oder akute Notlage in den privaten Unterkunftsbereich einzudringen.

Die Prüfung umfasst mindestens:

• Alter und unmittelbare Sicherheitslage;
• Buchungs- und Reisepartei sowie erreichbare verantwortliche erwachsene Person;
• Plattformbedingungen, Hausregeln und vertragliche Angaben;
• lokale Schutz-, Aufsichts- und Beherbergungsvorschriften;
• Dauer der Abwesenheit und konkrete Gefährdungen;
• Kontakt mit Plattform-Support und bei akuter Gefahr mit den zuständigen Not- oder Schutzstellen.

Es gibt dafür keine plattformübergreifende Pauschalantwort. Entscheidend sind Alter, Ort, Sachverhalt und geltende Regeln. Die klare betriebliche Grenze lautet: Eine Unterkunftsbuchung ist kein stillschweigender Babysittingvertrag.

Wird eine offenbar unbegleitete minderjährige Person angetroffen, sollten nur die für Schutz und Klärung erforderlichen Informationen erhoben werden. Das Kind wird weder verhört noch vorsorglich fotografiert. Bei unmittelbarer Gefahr ist nicht die weitere Beweissammlung, sondern der Kontakt zu den zuständigen Not- oder Kindesschutzstellen vorrangig.

Ein Masterkey ist keine unbegrenzte Erlaubnis zum Betreten

Auch Eigentümerschaft, Host, Reinigung oder Technik dürfen eine belegte Unterkunft nicht allein deshalb unangekündigt betreten, weil sie technisch einen Schlüssel besitzen. Airbnb verlangt nach seiner Richtlinie zum Schutz privater Räume grundsätzlich die Erlaubnis des Gastes vor dem Zutritt während einer Reservierung, ausser es liegt ein Notfall vor. Die für Vrbo geltende Expedia-Group-Richtlinie zum Zutritt durch Hosts beschränkt einen Eintritt ebenfalls auf aktive Notfälle oder eine zeitkritische Störung mit vorgängiger Zustimmung des Gastes.

Plattformregel, Vertrag und lokales Recht müssen gemeinsam geprüft werden. Ein interner Vermerk wie „Technik“, „Eigentümer“ oder „Manager“ ersetzt die Erlaubnis nicht. Ein geplanter Zutritt braucht einen konkreten Anlass, ein abgestimmtes Zeitfenster, die erforderliche Dauer und eine benannte Person. Bei einem echten Notfall wird der Grund nachträglich dokumentiert und der Zutritt auf das Notwendige begrenzt.

Kameras, Webcams und Recording Devices bilden einen eigenen Risikobereich

Kameraregeln werden häufig zu eng verstanden. Es geht nicht nur um eine sichtbar montierte CCTV-Kamera. Airbnb definiert Sicherheitskameras und Aufzeichnungsgeräte als Geräte, die Video, Bilder oder Audio aufnehmen oder übertragen, beispielsweise eine Türklingelkamera oder ein Babyphone. Innenräume von Airbnb-Unterkünften dürfen nicht mit solchen Geräten überwacht werden, selbst wenn sie ausgeschaltet oder vom Netz getrennt sind. Versteckte Kameras sind strikt verboten.

Wann eine Webcam relevant wird

Eine Webcam ist technisch ein Kamera- und mögliches Audioaufnahmegerät. Ein im Schrank gelagerter Laptop mit integrierter Kamera ist nicht automatisch eine eingesetzte Überwachungseinrichtung. Wird eine Webcam jedoch so aufgestellt, konfiguriert oder erreichbar belassen, dass sie den Innenraum aufzeichnet oder Bilder beziehungsweise Ton überträgt, fällt sie funktional in denselben Risikobereich. Eine blosse Zusicherung, das Gerät sei ausgeschaltet, beseitigt das Airbnb-Verbot für eine Innenraum-Überwachungseinrichtung nicht.

Die sichere Praxis ist eindeutig: Für den Aufenthalt nicht erforderliche Kameras oder Webcams werden aus dem vermieteten Innenraum entfernt oder so verwahrt, dass sie weder überwachen noch vom Gast als versteckte Überwachung verstanden werden können. Smart Displays, Sprachassistenten und andere vernetzte Geräte brauchen eine eigene Bestands- und Datenschutzeinordnung.

Aussenkameras und Türklingelkameras

Airbnb erlaubt Aussenkameras nur unter Bedingungen. Sie dürfen keine Bereiche mit erhöhter Privaterwartung überwachen und ihr Standort muss offengelegt werden. Vrbo untersagt ebenfalls Innenüberwachung und verlangt für zulässige Aussengeräte eine klare Offenlegung von Standort und erfasstem Bereich. Eine von aussen durch ein Fenster filmende Kamera bleibt bei Vrbo verboten.

Eine Kamera im Treppenhaus oder am Gebäudeeingang kann zudem von der Eigentümerschaft oder Gebäudeverwaltung betrieben werden. Der Host darf daraus nicht automatisch ableiten, dass er die Aufnahmen ansehen, exportieren oder für eigene Zwecke nutzen darf.

Audio, Dezibelmonitore und Smart-Home-Geräte

Ein Dezibelmonitor misst Lautstärke und Dauer, ohne Gespräche aufzuzeichnen. Airbnb lässt solche Geräte unter definierten Bedingungen zu, verlangt eine Offenlegung und verbietet ihre Platzierung in Schlaf-, Bade- und bestimmten privaten Bereichen. Ein Mikrofon, das Gespräche speichert oder überträgt, ist etwas anderes und erhöht das Datenschutz- und Plattformrisiko erheblich.

Offenlegung allein macht eine Kamera nicht zulässig

Eine Kamera kann transparent beschrieben und trotzdem verboten oder unverhältnismässig sein. Plattformregeln können strenger sein als das allgemeine Recht. Umgekehrt ersetzt eine Plattformfreigabe keine datenschutzrechtliche Prüfung. Airbnb kann je nach Schwere Warnungen aussprechen, ein Inserat oder Konto suspendieren oder entfernen. Vrbo nennt ebenfalls Untersuchung, Suspendierung oder Beendigung sowie mögliche Erstattungsfolgen.

Schweizer Datenschutz setzt zusätzliche Grenzen

Nach der Orientierung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten zur privaten Videoüberwachung werden Personendaten bearbeitet, sobald Personen auf Bildern erkennbar sind, unabhängig davon, ob die Aufnahmen gespeichert werden. Die Überwachung muss gerechtfertigt, verhältnismässig und transparent sein.

Für private Betreiber bedeutet das insbesondere:

• Der Aufnahmebereich bleibt grundsätzlich auf das eigene Grundstück begrenzt und erfasst weder Nachbargrundstück noch öffentlichen Raum.
• Weniger eingriffsintensive Massnahmen wie bessere Schlösser, Türverstärkung, Beleuchtung oder Alarmtechnik sind vorzuziehen, wenn sie den Zweck erfüllen.
• Betroffene Personen müssen vor Betreten des Aufnahmebereichs klar informiert werden.
• So wenige Personen wie möglich erhalten Zugriff auf Livebilder oder gespeicherte Aufnahmen.
• Aufnahmen werden nur so lange aufbewahrt, wie es der Zweck erfordert. Der EDÖB nennt für viele private Anwendungen üblicherweise etwa 24 Stunden.
• Bei einem Vorfall genügt häufig eine ereignisbezogene Sichtung statt permanenter Livebeobachtung.
• Aufnahmen werden nicht zur öffentlichen Suche oder Beschämung einer Person veröffentlicht.

Werden Mitarbeitende oder Dienstleister erfasst, kommen arbeitsrechtliche Anforderungen hinzu. Audioaufnahmen können weitere straf- und datenschutzrechtliche Fragen auslösen. Für eine konkrete Installation ist deshalb eine Prüfung des Standorts, Zwecks, Systems, Vertrags und anwendbaren Rechts erforderlich.

Gemeinsam genutzte Bereiche verdienen besondere Vorsicht. Der EDÖB verlangt bei einer geplanten Überwachung von Garagen, Waschküchen oder anderen von einem bestimmten Personenkreis gemeinsam genutzten Flächen eine vorgängige Konsultation der Nutzer und eine Interessenabwägung. Dass Airbnb oder Vrbo eine offengelegte Gemeinschafts- oder Zugangskamera unter Bedingungen zulässt, berechtigt einen einzelnen Host nicht automatisch, sie im Schweizer Mehrfamilienhaus allein zu installieren oder zu betreiben.

Eine Aufnahme ist nicht automatisch ein anerkannter Beweis

Video kann einen Ausschnitt zeigen, aber nicht zwingend Anlass, Berechtigung oder vollständige Ereignisfolge. Der EDÖB weist ausdrücklich darauf hin, dass gefilmte Szenen mehrdeutig sein können und ein Gericht im Einzelfall über die Zulassung als Beweismittel entscheidet. Auch eine Buchungsplattform ist nicht verpflichtet, jede eingereichte Aufnahme als entscheidend anzuerkennen.

Eine belastbare Ereignisdokumentation verbindet deshalb mehrere Elemente:

• Quelle, Gerät und zulässiger Aufnahmebereich;
• Originaldatei oder nachvollziehbarer Export statt nachträglich zusammengeschnittener Sequenz;
• Zeitpunkt, Zeitzone, Objekt und betroffener Aufenthalt;
• Personen, die die Aufnahme angesehen oder weitergegeben haben;
• ergänzende Nachrichten, Zutrittsprotokolle und objektive Feststellungen;
• klare Trennung zwischen Beobachtung und Interpretation.

Unzulässige Innenaufnahmen werden nicht dadurch legitim, dass sie einen möglichen Regelverstoss zeigen. Sie können vielmehr einen eigenen, schwerwiegenden Plattform- oder Datenschutzfall auslösen. Für Fotos, Reparaturkosten und sonstige Nachweise erläutert der Beitrag über Schäden, Haftung und Nachweise die erforderliche Trennung.

Welche Ereignisse sofort eskaliert werden sollten

Nicht jede verspätete Rückgabe ist ein Notfall. Folgende Ereignisse verlangen jedoch eine definierte Prüfung und, je nach Lage, eine sofortige Eskalation:

• Schlüssel, Masterkey oder Code ist nicht mehr kontrollierbar;
• eine unbekannte Person nutzt einen grundsätzlich gültigen Zugang;
• Gastcodes werden an nicht registrierte Personen weitergegeben;
• Schloss, Fenster, Keybox, Kamera oder Sensor wurde manipuliert;
• eine Person gelangt über Fenster, Balkon, Dach oder einen anderen nicht freigegebenen Weg hinein;
• eine minderjährige Person ist ohne geklärte verantwortliche erwachsene Person vor Ort;
• eine frühere Mitarbeiterin, ein früherer Co-Host oder ein beendeter Partner besitzt weiterhin Zugang;
• ein Zugriff auf Gästedaten oder Aufzeichnungen lässt sich keinem Auftrag und keiner Rolle zuordnen;
• eine Innenkamera oder ein anderes verbotenes Recording Device wird entdeckt.

Die Eskalation folgt der Gefährdung. Akute Gefahr für Menschen oder ein laufender unbefugter Zutritt verlangt andere Schritte als ein historischer Protokollfehler. Mitarbeitende benötigen deshalb klare Kontaktwege, dürfen aber nicht zu riskanter Selbsthilfe oder körperlicher Konfrontation gedrängt werden.

Funktionstrennung verhindert Selbstfreigabe

Wer einen ausserordentlichen Zugang gewährt, sollte ihn bei höherem Risiko nicht allein nachträglich als korrekt bestätigen. Wer eine Leistung ausführt, darf seinen eigenen unvollständigen Nachweis nicht zwingend endgültig freigeben. Wer technische Adminrechte besitzt, entscheidet nicht automatisch über die betriebliche oder rechtliche Zulässigkeit einer Kamera.

Oprivias Governance-Ansatz beschreibt die Funktionstrennung zwischen Ausführung, Prüfung und Freigabe. Kleine Betriebe können diese Funktionen nicht immer auf drei Personen verteilen. Dann helfen risikobasierte Zweitfreigaben, sichtbare Ausnahmen, nachträgliche Kontrollen und klar definierte Wert- oder Sicherheitsgrenzen.

Jede Berechtigung braucht einen vollständigen Lebenszyklus

1. Beantragen: Anlass, Person, Organisation, Objekt, Aufgabe und benötigte Rechte werden benannt.
2. Prüfen: Vertrag, Rolle, Datenschutz, Plattformregel und mögliche Interessenkonflikte werden berücksichtigt.
3. Freigeben: Eine zuständige Person genehmigt Umfang und Dauer.
4. Ausgeben oder aktivieren: Schlüssel, Code oder Konto wird eindeutig zugeordnet.
5. Überwachen: Ungewöhnliche Nutzung und kritische Ausnahmen bleiben erkennbar.
6. Ändern: Rollen- oder Objektwechsel führen zu einer neuen Prüfung, nicht bloss zu immer mehr Rechten.
7. Entziehen: Berechtigungen enden bei Auftragsabschluss, Check-out, Austritt oder Sicherheitsbedenken.
8. Bestätigen: Rückgabe, Codewechsel, Kontosperre und offene Übergaben werden abgeschlossen.

Gemeinsame Konten und gemeinsame Dauercodes durchbrechen diesen Lebenszyklus. Sie verschleiern, wer tatsächlich gehandelt hat, und zwingen den Betrieb bei einem Austritt zu einem umfassenden Wechsel. Individuelle oder eindeutig auftragsbezogene Zugänge sind deshalb nicht nur eine IT-Frage, sondern Voraussetzung für betriebliche Verantwortung.

Welche Rolle Oprivia übernimmt und welche nicht

Oprivia ist als operative Governance-Schicht dafür vorgesehen, Rollen, Objektbezug, Arbeitsfälle, Aufgaben, Status, Verantwortlichkeiten, Eskalationen und nachvollziehbare Ereignisse zusammenzuführen. Dadurch kann sichtbar bleiben, wer für einen bestimmten Vorgang zuständig war, welche Freigabe galt und wann eine Ausnahme bearbeitet wurde.

Oprivia ist kein Schliesssystem, keine Kameraüberwachung, keine Buchungsplattform und kein PMS. Die Plattform erteilt keine rechtliche Zutrittsbefugnis, entscheidet nicht, ob ein Verhalten strafbar ist, und ersetzt weder Sicherheitsfachpersonen noch Rechts- oder Datenschutzberatung. Sie garantiert auch nicht, dass eine Plattform, Versicherung, Behörde oder ein Gericht einen Nachweis anerkennt. Verfügbare Funktionen hängen vom freigegebenen Entwicklungsstand, Modul, Vertrag und der Konfiguration ab.

Praktische Mindestkontrolle für jeden Betrieb

• Alle physischen und digitalen Zugangsmittel sind pro Objekt erfasst.
• Jeder Schlüssel, Code und Account hat eine verantwortliche Person, einen Zweck und ein Enddatum.
• Gast-, Partner- und Masterzugänge sind getrennt.
• Gemeinsame Dauercodes und gemeinsame Personenkonten werden vermieden.
• Ungewöhnliche Zutrittswege und Codeweitergaben besitzen einen definierten Eskalationsweg.
• Für Minderjährige und Buchungen durch Dritte bestehen klare Prüf- und Kontaktregeln.
• Innenkameras und innen überwachende Recording Devices sind aus Airbnb- und Vrbo-Unterkünften entfernt.
• Zulässige Aussengeräte sind offengelegt, zweckgebunden und datenschutzkonform begrenzt.
• Nur wenige benannte Rollen dürfen ereignisbezogen Aufzeichnungen ansehen.
• Austritte, Partnerwechsel und Check-outs lösen einen bestätigten Entzug aus.
• Ausnahmezugriffe, Änderungen und Entscheidungen bleiben nachvollziehbar.

Häufige Fragen

Wer darf einen Schlüssel oder Zutrittscode zu einer Ferienwohnung erhalten?

Nur eine identifizierte Person oder klar definierte Personengruppe, die den Zugang für einen legitimen Zweck, ein bestimmtes Objekt und einen begrenzten Zeitraum benötigt. Vertrag, Eigentümerfreigabe, Hausregeln und Plattformbedingungen können zusätzliche Grenzen setzen.

Darf eine Reinigungskraft einen permanenten Schlüssel behalten?

Das kann vertraglich und betrieblich zulässig sein, ist aber nicht automatisch erforderlich. Der Betrieb sollte prüfen, ob ein zeitlich begrenzter oder objektspezifischer Zugang genügt. Bleibt ein Dauerschlüssel notwendig, müssen Empfänger, Verwendung, Verlust, Rückgabe und Entzug kontrolliert werden.

Was ist zu tun, wenn ein Gast den Code weitergibt?

Die Weitergabe wird als Sicherheitsereignis dokumentiert. Der Betreiber klärt betroffene Personen und Aufenthalt, prüft Haus- und Plattformregeln, begrenzt den Zugang und ersetzt den Code, sobald dies ohne zusätzliche Gefährdung möglich ist. Eine automatische Betrugs- oder Straftatbehauptung ist nicht angebracht.

Dürfen Minderjährige allein in einer Airbnb-Unterkunft bleiben?

Airbnb verlangt, dass Personen unter 18 während einer Reservierung von einem Erwachsenen begleitet werden. Andere Plattformen und lokale Rechtsordnungen können anders regeln. Der konkrete Fall muss nach Alter, Sicherheit, Buchungspartei, Verantwortung und lokalem Recht geprüft werden. Der Host wird durch die Buchung nicht automatisch zur Betreuungsperson.

Ist eine Webcam in einer vermieteten Wohnung erlaubt?

Entscheidend sind Standort und Funktion. Eine Webcam, die den Innenraum aufzeichnet oder Bilder beziehungsweise Ton überträgt, ist ein Recording Device und bei Airbnb als Innenraumüberwachung verboten. Nicht benötigte Geräte sollten aus dem Gastbereich entfernt oder sicher verwahrt werden. Zusätzlich gelten Datenschutz und gegebenenfalls strengere Plattformregeln.

Darf ein Host Aufnahmen einer Türklingelkamera ansehen?

Nur wenn das Gerät am Standort zulässig, ordnungsgemäss offengelegt und datenschutzkonform betrieben wird und die Sichtung für einen legitimen Ereigniszweck erforderlich ist. Nicht jeder Host, Eigentümer oder Co-Host benötigt Zugriff. Aufnahmebereich, Speicherdauer und Weitergabe müssen begrenzt bleiben.

Beweist eine Kameraaufnahme einen Regelverstoss?

Nein. Sie zeigt einen Ausschnitt, dessen Kontext, Zeit, Ort und Berechtigung geprüft werden müssen. Plattformen und Gerichte beurteilen Beweiskraft und Zulässigkeit selbst. Eine verbotene oder unrechtmässige Aufnahme wird nicht dadurch zulässig, dass sie einen anderen möglichen Verstoss zeigt.

Wann müssen Rechte eines Co-Hosts oder Partners entzogen werden?

Spätestens mit Ende der Aufgabe, des Vertrags oder der Objektzuständigkeit. Auch Rollenwechsel, Sicherheitsbedenken, unkontrollierte Weitergabe und längere Inaktivität können eine sofortige Prüfung oder Sperre erfordern. Physische Schlüssel, Codes und digitale Konten müssen gemeinsam berücksichtigt werden.

Fazit: Zutritt muss begründet, begrenzt und widerrufbar sein

Sichere Ferienwohnungsbetriebe trennen Person, Rolle, Organisation, Objekt, Aufgabe und Zeitraum. Sie behandeln Schlüsselkopien und weitergegebene Codes als echte Berechtigungen, nicht als Nebensache. Sie planen reguläre und ausserordentliche Zutritte, ohne Fenster oder Dach zum Ersatzweg werden zu lassen. Sie klären Verantwortlichkeiten für Minderjährige, statt Betreuung stillschweigend zu übernehmen. Und sie verwechseln Sicherheitsdokumentation nicht mit unzulässiger Überwachung.

Das Ziel ist nicht maximale Kontrolle, sondern nachvollziehbare Verantwortung. Jede berechtigte Person erhält genug Zugang für ihre Aufgabe. Jeder unnötige Zugang endet. Und jedes sicherheitsrelevante Ereignis kann fair, verhältnismässig und anhand überprüfbarer Tatsachen bearbeitet werden.

‍