Erhebung von Beschäftigtendaten

Was ist Erhebung von Beschäftigtendaten?

Bei internen Anfragen passiert Übererhebung tatsächlich, weil niemand in der Kette ein Formular für Beschäftigte als Datenverarbeitung ansieht. Eine Führungskraft bittet um einen kleinen Gefallen, eine Koordinatorin verschickt es, und mehrere hundert Kolleginnen und Kollegen werden nach Steuernummern, Familiengeburtstagen und Gesundheitszuständen gefragt, bevor irgendjemand aufgeschrieben hat, wozu die Daten dienen. Diese Übung spielt diesen Vormittag vollständig durch: Das Formular geht an jedes Profil der HR-Plattform, auch an archivierte, mit einer Begleitnotiz, die es als verpflichtend bezeichnet. Bis zur Mittagszeit hat die Data Protection Officer eingegriffen, elf Personen, die das Unternehmen vor Monaten verlassen haben, haben sensible Daten eingeschickt, ein externer Auftragnehmer hat einen Auskunftsantrag nach Artikel 15 gestellt, den niemand beantworten kann, und die Aufsichtsbehörde hat geschrieben. Die zweite Hälfte führt dieselbe Anfrage noch einmal durch, richtig. Eine Frage an die Führungskraft bringt den Zweck hervor, der nur in ihrem Kopf existierte. Sechs Felder werden an diesem Zweck gemessen, bis eines erforderlich ist, eines optional hinter einer eigenen ausdrücklichen Einwilligung steht und vier vollständig entfallen. Der Textentwurf geht vor dem Versand an die DPO statt danach, und die korrigierte Fassung wird Zeile für Zeile mit dem Original verglichen: Freiwilligkeit statt Druck, ein enger Zweck, zwei getrennte Rechtsgrundlagen, eine Speicherdauer, benannte Empfänger sowie die Rechte und Kontaktdaten, die einen Auskunftsantrag beantworten, bevor ihn jemand stellen muss. Das Rundschreiben geht dann nur an die Menschen, für die es gilt.

Was Sie lernen in Erhebung von Beschäftigtendaten

• Den Zweck einer Erhebung festlegen und dokumentieren, bevor Daten angefordert werden, und nachfragen, wenn der Zweck nur in jemandes Kopf existiert
• Datenminimierung nach Artikel 5(1)(c) anwenden, indem jedes Feld am angegebenen Zweck statt an seiner Nützlichkeit geprüft wird
• Erkennen, dass die Kennzeichnung eines unnötigen Feldes als optional die Minimierung nicht erfüllt, und es stattdessen entfernen
• Ernährungs-, Religions- und Gesundheitsangaben als Daten besonderer Kategorien nach Artikel 9 einordnen und sie hinter einer gesonderten ausdrücklichen Einwilligung erheben
• Erklären, warum Formulierungen wie «verpflichtend» oder «dringend» die Einwilligung im Arbeitsverhältnis unwirksam machen, wo das Machtgefälle ohnehin ein Risiko ist
• Die Angaben nach Artikel 13 aufzählen, die eine Datenschutzinformation enthalten muss: Zweck, Rechtsgrundlage, Speicherdauer, Empfänger, Rechte und Kontaktdaten der DPO
• Rechtsabteilung und Data Protection Officer einbinden, solange eine Mitteilung noch ein Entwurf ist, statt nachdem sie versendet wurde
• Den internen Empfängerkreis bewusst festlegen und erkennen, dass ehemalige Beschäftigte Mitteilungen an das Personal überhaupt nicht erhalten sollten

Erhebung von Beschäftigtendaten — Trainingsschritte

1. Ein Gefallen für Dagny

   Montag, zwanzig nach neun. Dagny Sorheim, die People Operations leitet und seit acht Uhr ununterbrochen in Besprechungen sitzt, schickt ein Formular und bittet Sie, es heute an alle zu verteilen. Es ist eine Sache von zwei Minuten. Sie erledigen das lieber gleich, als es im Postfach liegen zu lassen, während Sie an dem arbeiten, was Sie sich für den Tag eigentlich vorgenommen hatten.

2. Der Anhang

   Das Formular kommt von Dagny, es gibt also keinen Grund, daran zu zweifeln. Herunterladen und in Umlauf bringen.

3. Ein kurzer Blick

   Sie werfen den Blick darauf, den Sie auf alles werfen, was eine Führungskraft weiterleitet: ist es das richtige Dokument, hat es einen Titel, ist etwas offensichtlich kaputt.

4. Ziemlich viele Felder

   Es ist länger, als Sie erwartet hatten. Nichts daran wirkt direkt falsch, es sind nur sehr viele Felder für etwas, das als kleiner Gefallen beschrieben wurde.

5. Auf zur Plattform

   Es sind viele Fragen, aber Dagny hat darum gebeten, und Dagny weiß vermutlich, warum. Bei Ihnen warten noch vier andere Dinge. Ihre E-Mail verlinkt direkt auf Almvik People, die Plattform, über die alles Unternehmensweite verschickt wird.

6. Anmelden

   Almvik People führt ein Profil für jede Person, die das Unternehmen jemals bezahlt hat, und ist das einzige Werkzeug, das sie alle auf einmal erreichen kann.

7. Alle heißt wirklich alle

   Dagny sagte alle. Die Plattform teilt ihre Profile in Gruppen auf, und sie einzeln durchzugehen ist genau die Art von Fummelei, die aus zwei Minuten zwanzig macht. Es gibt eine Schaltfläche, die alle auf einmal nimmt.

8. Das Formular anhängen

   Das Rundschreiben hat seine Empfänger. Es fehlt noch das, was Sie eigentlich ausfüllen lassen wollen. Almvik People verschickt kein Rundschreiben ohne Inhalt, also kommt das Formular vor allem anderen dran.

9. Versendet

   Eine Sache fehlt noch: die Notiz über dem Formular. Interne Rundschreiben werden ignoriert, und Sie haben eine Frist am Freitag, also lassen Sie es wichtig klingen. Dann verschicken Sie es und machen mit Ihrem Vormittag weiter.

10. Das Telefon klingelt

    Sie sind mitten in den Onboarding-Unterlagen für die neuen Kolleginnen und Kollegen der nächsten Woche, als das Telefon klingelt. Es ist Ines Kovar, die Data Protection Officer, und sie hat Sie noch nie angerufen.