System im Einsatz

Personalmanagement-Systeme einführen

Ein Personalmanagement-System ist datenschutzrechtlich so gut wie sein Berechtigungskonzept. Über die Zulässigkeit entscheidet, wer welche Daten sehen kann und welche Auswertungen möglich sind. Beides steht im System und nicht im Vertrag.

Der Zugriff ist freigeschaltet, der Umfang ungeprüft

Das neue System ist eingerichtet, die Daten sind übernommen, der Zugriff ist freigeschaltet. Führungskräfte sehen die Stammdaten ihrer Abteilung, dazu die Abwesenheiten mit Anlass. Die Auswertung über Fehlzeiten liegt im Berichtsmenü und lässt sich bis auf die einzelne Person aufklappen.

Das Berechtigungskonzept ist die eigentliche Prüfung

Wer welche Daten im System sehen darf, ist die Frage, an der die datenschutzrechtliche Prüfung eines Personalsystems hängt. § 26 Abs. 1 BDSG erlaubt die Verarbeitung nur, soweit sie für das Beschäftigungsverhältnis erforderlich ist. Diese Erforderlichkeit ist je Rolle und je Datenfeld zu bestimmen.

Erforderlich für wen und wofür

Merkmal	Personalabteilung	Führungskraft	Konzernmutter
Stammdaten	Erforderlich	TeilweiseName, Funktion, Erreichbarkeit. Nicht Familienstand, Konfession, Bankverbindung.	SeltenFür ein Berichtswesen genügt eine Kennung ohne Namen.
Abwesenheiten	Mit AnlassFür Entgeltfortzahlung und Meldungen an Sozialversicherungsträger.	Ohne AnlassFür die Einsatzplanung genügt die Tatsache der Abwesenheit.	Nicht personenbezogen
Gesundheitsdaten	Eng begrenztNur der benannte Zugriffskreis, § 22 Abs. 2 Satz 2 Nr. 5 BDSG.	Nein	Nein
Leistungsdaten	Nach AnlassFür ein laufendes Verfahren, nicht auf Vorrat.	Nach VereinbarungOhne Regelung fehlt die Grundlage für den Zugriff.	AggregiertUnd nur, wenn die Aggregation die Rückführung ausschließt.

Die Zeile zu den Abwesenheiten ist der häufigste Befund. Die Einsatzplanung braucht die Tatsache und nicht den Anlass. Ein System, das beides in derselben Ansicht zeigt, verstößt gegen die Datenminimierung des Art. 5 Abs. 1 Buchst. c DSGVO.

Vier wiederkehrende Befunde in Berechtigungskonzepten

Der Anlass der Abwesenheit ist allgemein sichtbar

Der häufigste Befund. Das System zeigt Abwesenheit und Anlass in derselben Ansicht, weil die Voreinstellung des Anbieters es so vorsieht.

Die Rolle folgt der Hierarchie und nicht der Aufgabe

Wer weiter oben steht, sieht mehr. Die Erforderlichkeit nach § 26 Abs. 1 BDSG richtet sich aber nach der Aufgabe. Eine Bereichsleitung braucht für die Planung nicht mehr Felder als eine Teamleitung.

Vertretungsrechte bleiben nach dem Vertretungsfall bestehen

Für eine Urlaubsvertretung wird ein Recht erteilt und nach der Rückkehr nicht entzogen. Nach zwei Jahren sieht ein erheblicher Teil der Führungskräfte Daten, die sie nie gebraucht haben.

Ausleitungsrechte sind nicht geregelt

Wer eine Ansicht ausleiten kann, hat den Bestand. Ein Berechtigungskonzept, das nur Ansichten regelt, ist deshalb unvollständig.

Art. 25 Abs. 2 DSGVO verlangt datenschutzfreundliche Voreinstellungen und nennt die Zugänglichkeit ausdrücklich. Die Voreinstellung eines Anbieters ist auf Funktionsumfang ausgelegt und nicht auf Datenminimierung. Die Anpassung ist deshalb Teil der Einführung.

Eine Kennzahl wird zur Kontrolle, sobald sie sich auflösen lässt

Wann aus einer Kennzahl eine Verhaltenskontrolle wird, entscheidet nicht die Darstellung, sondern die Auflösbarkeit. Das BAG hat für § 87 Abs. 1 Nr. 6 BetrVG festgehalten, dass die Überwachung grundsätzlich die Zuordenbarkeit zu einzelnen Beschäftigten voraussetzt.

Drei Stufen der Auswertung

Personenbezogen
Die Auswertung nennt Namen oder Kennungen. Sie ist Verarbeitung von Beschäftigtendaten und braucht eine Rechtsgrundlage und eine Regelung.
Aggregiert mit Aufklappfunktion
Die Ansicht zeigt Gruppenwerte und erlaubt den Schritt zur einzelnen Person. Rechtlich ist das dasselbe wie die erste Stufe, weil die Zuordnung möglich bleibt.
Aggregiert ohne Rückführung
Erst hier endet der Personenbezug, allerdings nur, wenn die Gruppe groß genug ist. Nach der Rechtsprechung schlägt der Druck auf eine kleine Gruppe auf ihre Mitglieder durch.

3 von 3

Für die Mitbestimmung kommt es auf die Absicht nicht an. Ein System, das die zweite Stufe technisch beherrscht, ist objektiv zur Überwachung geeignet, auch wenn niemand die Funktion benutzt.

Im Konzern ist jede Gesellschaft eine eigene Stelle

Was der konzernweite Einsatz zusätzlich verlangt, folgt aus Art. 4 Nr. 7 DSGVO. Verantwortlich ist die einzelne Stelle. Eine Gruppe ist keine. Damit zerfällt ein einheitliches System in mehrere Verarbeitungen mit je eigener Rolle.

Vier Festlegungen vor der konzernweiten Einführung

Welche Gesellschaft ist für welche Verarbeitung im System verantwortlich, je Verarbeitungstätigkeit und nicht je Gesellschaft
In welcher Rolle handelt die betreibende Gesellschaft, meistens als Auftragsverarbeiterin nach Art. 28 DSGVO
Worauf stützt sich die Übermittlung an die Mutter und wo ist die Abwägung dokumentiert
Welche Aggregation erreicht das Berichtswesen der Mutter und schließt sie die Rückführung aus

Ein Konzernprivileg gibt es nicht. Erwägungsgrund 48 der Verordnung erkennt lediglich an, dass ein berechtigtes Interesse an der Übermittlung für interne Verwaltungszwecke bestehen kann. Das ist eine mögliche Rechtsgrundlage nach Art. 6 Abs. 1 Buchst. f DSGVO und keine Zusammenlegung der Rollen.

So unterstützen wir Sie bei Ihrem Projekt

Die Einführung braucht drei Unterlagen. Alle drei entstehen vor der Freischaltung. Ein Berechtigungskonzept, das je Rolle die Datenfelder benennt. Eine Folgenabschätzung, wo Leistungsdaten ausgewertet werden. Und eine Vereinbarung, die den Rahmen für Auswertungen setzt.

Die arbeitsrechtliche Seite liegt außerhalb des Datenschutzrechts. Die Verhandlung der Vereinbarung, die Beteiligung nach § 90 BetrVG bei der Planung und die Verwertbarkeit einer Auswertung im Einzelfall laufen über die angegliederte Kanzlei.

Häufige Fragen

Dürfen Führungskräfte alle Daten ihrer Beschäftigten sehen?

Nur soweit es für ihre Aufgabe erforderlich ist, § 26 Abs. 1 BDSG. Für die Urlaubsplanung braucht es Abwesenheiten und nicht deren Grund. Für ein Jahresgespräch braucht es keine Krankheitszeiten. Die Erforderlichkeit ist je Datenfeld und je Rolle zu bestimmen und nicht je Person.

Sind aggregierte Kennzahlen unbedenklich?

Nur solange sie sich nicht auf einzelne Beschäftigte zurückführen lassen. Eine Kennzahl über eine Gruppe von drei Personen ist keine Aggregation. Eine Auswertung mit Aufklappfunktion ist von vornherein personenbezogen.

Braucht ein konzernweites System eine eigene Rechtsgrundlage?

Für jede Übermittlung zwischen zwei Gesellschaften, ja. Ein Konzernprivileg gibt es nicht. Erwägungsgrund 48 der DSGVO erkennt an, dass ein berechtigtes Interesse an der Übermittlung für interne Verwaltungszwecke bestehen kann. Die Abwägung ist zu dokumentieren.

Ist eine Folgenabschätzung erforderlich?

Regelmäßig ja, sobald das System Leistungsdaten auswertet oder Bewertungen erzeugt. Art. 35 Abs. 3 Buchst. a DSGVO nennt die systematische und umfassende Bewertung persönlicher Aspekte als Regelbeispiel. Auch ohne dieses Merkmal spricht die Zahl der betroffenen Personen für eine Abschätzung.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.