GDPR Datenaufbewahrung für Betreiber von gemeinsam genutztem WiFi: Wie lange Sie Gast-Anmeldedaten und Netzwerkprotokolle aufbewahren dürfen

Unter UK GDPR dürfen identifizierbare Gast-WiFi-Anmeldedaten und Netzwerkprotokolle nur für den dokumentierten Zweck und nicht länger aufbewahrt werden. Die meisten betrieblichen Sicherheitsprotokolle rechtfertigen eine kurze, geprüfte Frist, keine allgemeine Regel. Eine 12-monatige IPA-Frist gilt nur, wenn eine entsprechende Datenaufbewahrungsanordnung die Speicherung bestimmter Daten vorschreibt.1 7 9

Was ist eine vertretbare WiFi-Datenaufbewahrungsrichtlinie?

Eine vertretbare Richtlinie verknüpft jede Datenkategorie mit einem Zweck, einer verantwortlichen Partei, einer Rechtsgrundlage, einer Aufbewahrungsfrist und einem Löschereignis. Dies ist der betriebliche Ausdruck von Artikel 5(1)(e): Personenbezogene Daten dürfen nicht länger als nötig identifizierbar bleiben. Das ICO schreibt keine festen Fristen vor. Sie müssen den Zeitraum begründen, dokumentieren, überprüfen und die Daten löschen oder anonymisieren, wenn sie nicht mehr benötigt werden.1

Rechtlicher Hinweis. Dies ist ein technischer Leitfaden zur Einhaltung von Vorschriften und keine formelle Rechtsberatung. Bitten Sie einen qualifizierten Rechtsbeistand, Ihr Standortmodell, Ihre Mieterverträge und alle IPA-Mitteilungen zu validieren, bevor Sie sich auf einen Aufbewahrungsplan verlassen.

Warum ist gemeinsam genutztes WiFi ein anderes Compliance-Problem?

Multi-Tenant WiFi schafft Ebenen, die ein Gastnetzwerk an einem einzelnen Standort nicht hat. Sie betreiben möglicherweise eine gemeinsam genutzte Zugriffsebene für Bewohner, Mitglieder, Gäste und Besucher, während Sie gleichzeitig einen Staff WiFi-Dienst für einen Arbeitgeber als Mieter bereitstellen. Für Ihre eigenen Zwecke, wie Netzwerksicherheit, Servicegarantie und Abrechnungsstreitigkeiten, sind Sie möglicherweise Verantwortlicher. Für die Mitarbeiterauthentifizierung, die nur auf dokumentierte Anweisung des Mieters verarbeitet wird, sind Sie möglicherweise Auftragsverarbeiter. Die Bezeichnung in einer kommerziellen Vereinbarung entscheidet nicht über diese Frage.

Das ICO erklärt, dass sich die Rolle nach der spezifischen Verarbeitungstätigkeit richtet. Die Partei, die darüber entscheidet, warum Daten erhoben werden, sowie über die Rechtsgrundlage, die Datenkategorien, die Empfänger, die Datenschutzinformationen, die Rechteverwaltung oder die Aufbewahrung, ist wahrscheinlich der Verantwortliche. Ein Auftragsverarbeiter kann technische Methoden, Sicherheitskontrollen und Löschmechanismen wählen, ohne zum Verantwortlichen zu werden, solange er nicht die übergeordneten Entscheidungen trifft. Derselbe Datensatz kann daher nach Zweck und Rolle getrennt sein. Wenn beide Parteien die Zwecke und Mittel gemeinsam festlegen, nutzen Sie eine Vereinbarung über die gemeinsame Verantwortlichkeit nach Artikel 26, anstatt die Beziehung als einfachen Auftragsverarbeiterdienst zu behandeln.4

Diese Analyse ist besonders wichtig für die Branchen Gastgewerbe, Einzelhandel, Gesundheitswesen und Transportwesen, in denen ein gemeinsam genutztes Netzwerk mehrere unabhängige Unternehmen im selben Gebäude versorgen kann.

Wie sollten Sie die 5 WiFi Datenkategorien klassifizieren?

Verbindungs-Metadaten umfassen die zugewiesene IP-Adresse, die Quell-MAC-Adresse, Start- und Endzeiten der Sitzung, übertragene Bytes, DHCP-Lease-Einträge und RADIUS-Accounting. Bei einem Dienst mit namentlicher Anmeldung handelt es sich bei diesen Feldern in der Regel um personenbezogene Daten, da sie mit einer Einzelperson verknüpft werden können. Bewahren Sie nur die Felder auf, die für die definierten Sicherheits- und Fehlerbehebungszwecke erforderlich sind. Ein empfohlenes operatives Zeitfenster von 30 bis 90 Tagen ist eine Ausgangsrichtlinie, kein gesetzlicher sicherer Hafen. Ihre Zeit zur Erkennung von Vorfällen, Ihr Bedrohungsmodell und Ihre Fähigkeit zur Untersuchung sollten den genehmigten Zeitraum bestimmen.1 6

Gäste-Authentifizierungsdaten umfassen E-Mail-Adresse, Name, Telefonnummer und Authentifizierungs-ID. Wenn Sie diese Daten ausschließlich erheben, um einer Person Zugang zum Gäste-WiFi zu gewähren, endet der Zugriffszweck mit der Sitzung. Bewahren Sie einen kurzen, dokumentierten Zeitraum für Streitigkeiten oder Betrugsfälle nur dann auf, wenn Sie dies begründen können. Wenn Sie auch ein bewusstes Marketing-Opt-in erfassen, trennen Sie den Marketingdatensatz von den Zugangsdaten. Die Einwilligung kann widerrufen werden, zudem gelten für elektronisches Marketing eigene Regeln. Stellen Sie bei Widerruf oder Widerspruch das Marketing ein und bewahren Sie nur die minimalen Sperrinformationen auf, die zur Wahrung der Entscheidung erforderlich sind.2 6

Standort- und Präsenzdaten erfordern eine strikte Unterscheidung zwischen rohen, identifizierbaren Spuren und aggregierten Ergebnissen. Ein Token ist nicht anonym, wenn Sie es wieder mit einem Login verknüpfen können. Das ICO erklärt, dass pseudonymisierte Daten in der Regel personenbezogene Daten bleiben, während Daten, die eine Identifizierung nicht mehr zulassen, außerhalb der Speicherbegrenzungsregel aufbewahrt werden können. Eine 30-tägige Aufbewahrungsfrist für Rohdaten gefolgt von einer unwiderruflichen Aggregation ist ein sinnvolles Richtlinienmuster, wenn Sie kurzfristige operative Analysen benötigen. Dokumentieren Sie die Aggregationsmethode und prüfen Sie, ob eine Re-Identifizierung weiterhin möglich ist.1Marketing-Kommunikationshistorie umfasst Sendungen, Öffnungen, Klicks und Präferenzänderungen. Übernehmen Sie nicht den Timer für das Sicherheits-Log. Bewahren Sie diese Daten nur für den angegebenen Marketingzweck, auf der anwendbaren Rechtsgrundlage und mit einem dokumentierten Überprüfungsdatum auf. Die unten genannte 24-monatige Überprüfung ist eine empfohlene Betriebsgrenze, keine Frist des ICO. Bewahren Sie ein Interaktionsprofil niemals nur deshalb auf, weil die Person ihre Einwilligung nicht widerrufen hat. Wenn die Einwilligung widerrufen wird, löschen oder anonymisieren Sie die Marketinghistorie, es sei denn, es liegt ein gesonderter, dokumentierter Bedarf vor. Ein Eintrag in einer Sperrliste zum Opt-out ist etwas anderes: Er verhindert weitere Nachrichten.2 6

Missbrauchs- und Sicherheits-Logs können Firewall-Sperren, DNS-Sicherheitsereignisse und RADIUS accounting umfassen. Netzwerk- und Informationssicherheit kann berechtigte Interessen unterstützen, tut dies jedoch nicht automatisch. Führen Sie die Zweck-, Notwendigkeits- und Abwägungstests durch, bevor Sie die Aufbewahrungsfrist starten. Eine 365-tägige Frist kann vertretbar sein, wenn eine gemeinsam genutzte öffentliche IP-Adresse bedeutet, dass Sie Zuordnungsnachweise für eine verzögerte Bearbeitung von Vorfällen, Ansprüchen oder Vorladungen benötigen. Es handelt sich hierbei nicht um eine GDPR-Mindestgrenze. Reduzieren Sie Felder, beschränken Sie den Zugriff, protokollieren Sie Suchen und überprüfen Sie die Interessenabwägung, wenn sich die Architektur oder das Risiko ändert.1 6

Entscheidungsfluss: Bestimmen Sie die Identifizierbarkeit, die Rolle, die Rechtsgrundlage und etwaige gesetzliche Mitteilungen, bevor Sie die automatisierte Bereinigungsregel festlegen.

Welchen Aufbewahrungsplan können Sie anwenden?

Der folgende Zeitplan ist eine anpassbare Grundlage für ein gemeinsam genutztes WiFi-Netzwerk in Großbritannien. Er ist bewusst nach Zweck aufgeteilt. Wenden Sie ihn erst an, nachdem der Verantwortliche den Zweck, die Rechtsgrundlage und die Risikoanalyse für das Netzwerk dokumentiert hat. Eine IPA-Anordnung, eine Aufbewahrungspflicht für Beweismittel oder ein laufendes Verfahren können ein normales Bereinigungsdatum außer Kraft setzen, jedoch nur für die spezifischen Datensätze und die Dauer, die die Ausnahme rechtfertigt.1 7 9

Die 90-tägige Verbindungsfrist und die 365-tägige Missbrauchsfrist sind politische Entscheidungen, keine Pflichtzahlen. Sie sind nur dann nützlich, wenn Ihre schriftliche LIA, Ihre Datenschutzerklärung, Ihre Systemnachweise und Ihr automatisiertes Löschkonzept alle übereinstimmen. Eine Behörde muss zudem prüfen, ob sie eine öffentliche Aufgabe wahrnimmt, da sie sich für diese Aufgabe nicht auf berechtigte Interessen berufen kann.6

Verlangt die IPA von einem Betreiber eines gemeinsam genutzten WiFi-Netzwerks, Protokolle für 12 Monate aufzubewahren?

Nein, standardmäßig nicht. Die Definition des Telekommunikationsanbieters in der IPA ist breit gefächert. Der Kodex für Anordnungen der Regierung aus dem Jahr 2025 besagt, dass dies auch Personen umfassen kann, die Gästen oder der Öffentlichkeit Zugang zu Kommunikationsdiensten gewähren, die einer anderen Dienstleistung untergeordnet sind, einschließlich gewerblicher Objekte wie Hotels. Dies macht das Thema für Betreiber von MDU-, Co-Working- oder Managed-WiFi-Netzwerken relevant.8 9

Derselbe Kodex stellt jedoch klar, dass standardmäßig keine Aufbewahrungspflicht nach dem Gesetz besteht, bis eine Datenaufbewahrungsanordnung erlassen wird. Nach IPA-Abschnitt 87 darf der Secretary of State eine Anordnung nur dann erlassen, wenn die Anforderung notwendig und verhältnismäßig ist und ein Judicial Commissioner sie genehmigt hat. Die Anordnung muss den Betreiber, die Daten und den Zeitraum genau bestimmen. Sie darf keine Aufbewahrung von mehr als 12 Monaten vorschreiben. Erstellen Sie keine allgemeine Richtlinie zur "Aufbewahrung aller Daten für 12 Monate" nur weil der Dienst eine weit gefasste Definition eines Telekommunikationsanbieters erfüllen könnte.7 9

Wenn eine gültige Anordnung eine rechtliche Verpflichtung begründet, kann Artikel 6(1)(c) die Rechtsgrundlage gemäß UK GDPR für die zur Einhaltung erforderliche Verarbeitung liefern. Dies ist keine vertragliche Grundlage. Das ICO weist darauf hin, dass Sie die spezifische gesetzliche Bestimmung identifizieren, die Entscheidung dokumentieren und den Zweck sowie die Rechtsgrundlage in den Datenschutzinformationen erläutern müssen. Die Anordnung berechtigt nicht zur sekundären Marketingnutzung oder zu einer unbegrenzten Datenerhebung.3

Was muss eine Vereinbarung mit Mietern gemäß Artikel 28 enthalten?

Wenn Sie Daten von Mitarbeitern des Mieters ausschließlich auf dokumentierte Weisung des Mieters verarbeiten, muss vor Beginn dieser Verarbeitung eine Auftragsverarbeitungsvereinbarung gemäß Artikel 28 vorliegen. Die Vereinbarung sollte den Gegenstand und die Dauer, die Art und den Zweck, die Datenkategorien, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen beschreiben. Sie muss zudem die unten aufgeführten operativen Verpflichtungen enthalten.5

Nutzen Sie eine Vereinbarung nach Artikel 28 nicht, um eine gemeinsame Verantwortlichkeit zu verschleiern. Wenn Betreiber und Mandant gemeinsam entscheiden, warum Mitarbeiter-Analysen genutzt werden, welche Felder erfasst werden und wie lange sie verfügbar bleiben, prüfen Sie stattdessen Artikel 26.4

Wie sollten Sie mit einem Löschungsbegehren umgehen?

Die Löschung nach Artikel 17 ist keine Ein-Klick-Löschfunktion. Beginnen Sie mit einer angemessenen Identitätsprüfung. Suchen Sie dann nach Daten nach Zweck und Rolle: Gastzugang, Marketing, Sicherheit, Anweisung des Mandanten und jede hinweisspezifische Aufbewahrung. Das ICO empfiehlt, unverzüglich, spätestens jedoch innerhalb eines Monats, zu antworten. Wenn Daten nicht mehr erforderlich sind oder die Einwilligung widerrufen wurde, löschen Sie diese aus den aktiven Systemen und benachrichtigen Sie gegebenenfalls die relevanten Empfänger.2

Besteht eine rechtliche Verpflichtung oder sind die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich, gilt das Recht auf Löschung in diesem Umfang nicht. Erklären Sie den eingeschränkten Grund klar. Halten Sie die einbehaltenen Daten getrennt, verhindern Sie eine zweckfremde Nutzung und wenden Sie das entsprechende Enddatum an. Backups erfordern eine eindeutige Antwort: Die Löschung sollte, sofern praktikabel, auch Backups umfassen. Wenn ein sofortiges Überschreiben unmöglich ist, sperren Sie den Backup-Datensatz und legen Sie den Zeitplan für das Überschreiben offen.2

Ein Löschungs-Workflow sollte zu löschende Daten von den wenigen Datensätzen trennen, die aufgrund einer dokumentierten Ausnahme einbehalten werden.

Wie funktioniert das in der Praxis?

Szenario Gastgewerbe: ein Hotel mit Gastzugang und Mitarbeiterzugang für Mandanten

Ein Hotel mit 200 Zimmern betreibt ein Guest WiFi für Besucher und stellt seinem Restaurant-Mandanten eine SSID für das Mitarbeiter-WiFi zur Verfügung. Das Hotel erstellt zwei separate Verarbeitungsverzeichnisse. Es fungiert als Verantwortlicher für die Authentifizierung von Gästen, 90 Tage alte Verbindungsdaten und Sicherheitsuntersuchungen. Das Restaurant entscheidet über den Mitarbeiterkreis, die Zugangsbedingungen und die Aufbewahrungsfristen für seine Mitarbeiter-SSID, sodass das Hotel für diese Verarbeitung Bedingungen gemäß Artikel 28 anwendet. Die messbare Kontrolle ist ein monatlicher Bericht, der zeigt, dass jede Gästesitzung, die älter als 90 Tage ist, gelöscht wurde, während jede Ausnahme eine Vorfalls- oder Hinweisreferenz aufweist.

Szenario Einzelhandel: ein Einkaufszentrum an einer öffentlichen Adresse

Ein Einkaufszentrum nutzt eine einzige öffentliche Egress-Adresse für mehrere Geschäfte. Das Sicherheits-LIA dokumentiert, warum verzögerte Missbrauchsanschuldigungen eine Zuordnung zu einer bestimmten Verbindung erfordern können. Es legt eine Aufbewahrungsfrist von 365 Tagen für Sicherheitsbeweise fest, speichert jedoch rohe, identifizierbare Standortdaten vor der Aggregation nur für 30 Tage. Die messbare Kontrolle besteht aus einer vierteljährlichen LIA-Überprüfung sowie einem Test, der zeigt, dass ein Sicherheitsanalyst einen zulässigen Vorfall rekonstruieren kann, ohne auf abgelaufene rohe Standortdaten zuzugreifen.

Szenario für Veranstaltungen: Ein Konferenzzentrum mit sponsorenspezifischen Zielgruppen

Ein Konferenzzentrum bietet Besuchern WiFi-Zugang, während Sponsoren Opt-ins über separat gebrandete Abläufe erfassen. Das Veranstaltungszentrum bleibt der Verantwortliche für Betriebs- und Sicherheitsdaten. Jeder Sponsor ist für seinen eigenen Marketingzweck verantwortlich und darf nur die Opt-ins erhalten, zu deren Nutzung er berechtigt ist. Die messbare Kontrolle ist ein Test vor der Veranstaltung, der beweist, dass ein Widerruf bei einem Sponsor-Ablauf die Kommunikation dieses Sponsors unterdrückt, ohne die minimal aufbewahrten Sicherheitsbeweise des Veranstaltungsorts zu löschen.

Was sollten Sie als Nächstes tun?

Beginnen Sie mit einem 60-minütigen Workshop zur Datenaufbewahrung, nicht mit einer Richtlinienvorlage. Bringen Sie Ihren DPO, Ihren Netzwerkarchitekten, Ihren Leiter des Veranstaltungsbetriebs und jeden relevanten Mietervertreter an einen Tisch. Erstellen Sie eine Tabelle mit den Feldern, die aus Splash Page, DHCP, RADIUS, Firewall, DNS und Analytics-Komponenten stammen. Legen Sie für jedes Feld den Zweck, die Rolle als Verantwortlicher oder Auftragsverarbeiter, die Rechtsgrundlage, die Aufbewahrungsfrist, die Löschaktion, den Audit-Verantwortlichen und den Legal-Hold-Prozess fest.

Konfigurieren Sie dann das System so, dass es diese Arbeit übernimmt. Purple bietet konfigurierbare Aufbewahrungsfristen, automatisierte Löschpläne, Tools für Auskunftsersuchen und Lösch-Workflows, die dieses Betriebsmodell unterstützen. Halten Sie Ihre Guest WiFi-Umgebung strikt von den Zwecken des Mitarbeiter-WiFi von Mietern getrennt. Wenn Sie WiFi Analytics nutzen, aggregieren oder anonymisieren Sie die Daten, bevor das Aufbewahrungsfenster für identifizierbare Daten abläuft. Ein Cloud-Overlay sollte es einfacher machen, Richtlinien konsistent über ein verteiltes Netzwerk anzuwenden, anstatt die Lebensdauer von Datensätzen standardmäßig zu verlängern.

Für verwandte Sicherheitskontrollen vergleichen Sie das Design der Datenaufbewahrung mit Hardening RADIUS against MD5 collision attacks (BlastRADIUS), Privacy by design: anonymising WiFi data for GDPR compliance und MDU WiFi tenant session tracking and abuse attribution. Für einen breiteren Kontext siehe The definitive timeline of WiFi: from ALOHAnet to WiFi 7 and beyond, Guest WiFi Management: Smart Authentication & Segmentation, Cloud Wifi Management: Secure Enterprise Connectivity 2026 und Purple appoints Imani Butler as Growth Director, North America.

Häufig gestellte Fragen

Wie lange darf ich Gast-WiFi-Logindaten gemäß GDPR speichern?

Speichern Sie diese nur so lange, wie der Zugriff, ein Streitbeilegungsverfahren, die Sicherheit oder ein anderer angegebener Zweck erforderlich bleibt. Ein praktischer Ausgangspunkt für eine reine Authentifizierung ist das Ende der Sitzung plus eine kurze, dokumentierte Aufbewahrungsfrist für Streitfälle von beispielsweise 30 Tagen. Dies ist eine strategische Entscheidung und keine feste GDPR-Regel. Dokumentieren Sie den Zweck, die Rechtsgrundlage und den Löschzeitpunkt und testen Sie den Bereinigungsprozess.

Erfordert der UK Investigatory Powers Act eine 12-monatige Aufbewahrung von WiFi-Verbindungsdaten?

Nein. Der IPA begründet keine automatische 12-monatige Pflicht für jeden Betreiber von gemeinsam genutztem WiFi. Eine Aufbewahrungspflicht beginnt erst, wenn eine entsprechende Datenaufbewahrungsanordnung erlassen wird. Die Anordnung definiert die relevanten Kommunikationsdaten und die Aufbewahrungsfrist, die 12 Monate nicht überschreiten darf. Holen Sie unverzüglich fachlichen Rat ein, wenn Sie eine solche erhalten.7 9

Bin ich Verantwortlicher oder Auftragsverarbeiter für die Mitarbeiter eines Mieters im Mitarbeiter-WiFi?

Das hängt von der jeweiligen Verarbeitungstätigkeit ab. Wenn der Mieter über den Mitarbeiterkreis, den Zweck, die Datenschutzerklärung, die Bearbeitung von Rechten und die Aufbewahrung entscheidet, während Sie den Dienst auf dokumentierte Anweisung betreiben, sind Sie für diese Tätigkeit wahrscheinlich Auftragsverarbeiter. Wenn Sie diese Entscheidungen für Ihre eigenen Zwecke treffen, sind Sie Verantwortlicher. Wenn beide Parteien gemeinsam über die wesentlichen Zwecke und Mittel entscheiden, prüfen Sie eine gemeinsame Verantwortlichkeit.4

Was ist die richtige Aufbewahrungsfrist für IP-Adressen-Logs in einem gemeinsam genutzten WiFi-Netzwerk?

Es gibt keine festgelegte Frist nach der UK GDPR. Legen Sie eine verhältnismäßige Frist fest, die an den angegebenen Sicherheits- und Fehlerbehebungsbedarf gekoppelt ist. Dieser Leitfaden schlägt 90 Tage als Standardwert für Verbindungs-Metadaten vor. Verlängern Sie diesen Zeitraum nur dann auf 365 Tage, wenn eine dokumentierte LIA (Interessenabwägung) eine echte Zuordnung von gemeinsam genutzten Adressen oder Schadensersatzansprüche rechtfertigt, und nutzen Sie dabei Datenminimierung und Zugriffskontrollen.1 6

Wie verhalte ich mich bei einem Löschungsbegehren, wenn ich gesetzlich zur Aufbewahrung von Verkehrsdaten verpflichtet bin?

Löschen Sie Daten, die nicht mehr erforderlich sind, aber bewahren Sie genau die Daten und für den Zeitraum auf, die durch die gesetzliche Verpflichtung gefordert werden. Antworten Sie innerhalb eines Monats, erläutern Sie die anwendbare Ausnahme und verhindern Sie, dass die einbehaltenen Daten für andere Zwecke verwendet werden. Wenden Sie dasselbe Verfahren auf Backups an, indem Sie diese löschen oder so sperren, dass sie bis zur planmäßigen Überschreibung nicht mehr genutzt werden können.2 3

Benötige ich mit jeder Mieterorganisation einen DPA (Auftragsverarbeitungsvertrag)?

Sie benötigen immer dann einen Auftragsverarbeitungsvertrag gemäß Artikel 28, wenn Sie Mitarbeiterdaten eines Mieters auf dessen dokumentierte Weisung hin verarbeiten. Sie benötigen keinen Vertrag, nur weil Sie sich ein Gebäude teilen. Wenn beide Parteien die Zwecke und wesentlichen Mittel gemeinsam festlegen, kann stattdessen eine Vereinbarung über die gemeinsame Verantwortlichkeit gemäß Artikel 26 erforderlich sein.4 5

Kann ich die Marketinghistorie aufbewahren, bis ein Gast seine Einwilligung widerruft?

Nein. Eine aktive Einwilligung entbindet nicht von der Pflicht zur Speicherbegrenzung. Legen Sie einen Überprüfungszeitraum für den Marketingverlauf fest und dokumentieren Sie diesen - beispielsweise eine Überprüfung nach 24 Monaten - und löschen oder anonymisieren Sie Daten, die dem angegebenen Zweck nicht mehr dienen. Bei Widerruf oder Widerspruch müssen Sie das Marketing einstellen und dürfen nur die minimalen Sperrdaten aufbewahren, die erforderlich sind, um diese Entscheidung zu respektieren.1 2

Referenzen