Betriebsvereinbarung: Rahmenbedingungen zum Datenschutz im Betrieb

Zeigen Sie und Belegschaft, dass Sie das Thema ernst nehmen. Zum Beispiel, indem Sie eine glasklare Betriebsvereinbarung zu diesem Thema schließen. Die könnte zum Beispiel so aussehen (Formulierungsbeispiel):

Betriebsvereinbarung

zwischen der Firma ……………………………………………………. vertreten durch den/die Vorsitzende/n der Geschäftsleitung
und dem Betriebsrat  …………………………. vertreten durch den/die Vorsitzende/n über die

Rahmenbedingungen zum Datenschutz im Betrieb

Präambel

1. Die Firma und der Betriebsrat legen mit dieser Betriebsvereinbarung Rahmenbedingungen zum Datenschutz fest.
2. Ziel dieser Betriebsvereinbarung ist es, die Persönlichkeitsrechte der Mitarbeiter unter Beachtung aller maßgeblichen gesetzlichen Bestimmungen zu sichern und dennoch den Einsatz weit reichender technischer Möglichkeiten sicherzustellen. Ergänzend werden vor dem Einsatz neuer Techniken anzuwendende betriebliche Regeln vereinbart, die den Datenschutz im Einzelfall konkretisieren.

§ 1 Geltungsbereich

1. Diese Betriebsvereinbarung gilt für die Verarbeitung von personenbezogenen und / oder personenbeziehbaren Daten unabhängig davon, in welchen Systemen diese Daten gespeichert sind und ob die Verarbeitung in standardisierter oder individueller Form erfolgt.
2. Diese Betriebsvereinbarung gilt für alle Mitarbeiter der Firma, mit Ausnahme der leitenden Angestellten gemäß (BetrVG).

§ 2 Grundsätze und Ziele

1. Die Betriebsparteien stimmen darüber ein, dass beim Einsatz neuer Techniken der Datenschutz einzuhalten und die Persönlichkeitsrechte des einzelnen Mitarbeiters zu achten sind.
2. Die automatisierte Verarbeitung von Daten ist nur im Rahmen der jeweiligen Zweckbestimmung und der gesetzlichen Bestimmungen zulässig.
3. Datenverarbeitungs- und IT-Systeme dürfen nicht als ausschließliches Mittel für die Kontrolle von Mitarbeitern und als Grundlage für disziplinarische Maßnahmen benutzt werden.
4. Nachteile auf Grund des Einsatzes von Datenverarbeitungs- oder IT-Systemen dürfen nicht alleinige Grundlage von Kündigungen, Abgruppierungen, Qualifikations- oder Kompetenzeinbußen sein.
5. Eine automatisierte Verarbeitung von Daten zur Leistungs- oder Verhaltenskontrolle von Mitarbeitern ist nicht erlaubt. Ausnahmen sind möglich, bedürfen aber einer gesonderten Vereinbarung.
6. Im Rahmen des Projektmanagements erfasste Daten und durchgeführte Auswertungen dienen ausschließlich der Planung, Zeit- und Kostenkontrolle des Projekts.
7. Jede Verarbeitung von schutzwürdigen personenbezogenen oder personenbeziehbaren Daten, auch der unberechtigte Zugriff, wird revisionssicher protokolliert.
8. Der betriebliche Datenschutzbeauftragte erstellt eine Datenschutzkonzeption, in der die technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen oder personenbeziehbaren Daten berücksichtigt sind.
9. Die Firma verpflichtet sich zur schonenden Nutzung, Speicherung und Verarbeitung von Daten. Sie verarbeitet Personaldaten innerhalb von Datenverarbeitungs- und IT-Systemen nur, soweit dies auf Grund gesetzlicher oder tarifvertraglicher Vorschriften oder von Adressierungen erforderlich ist.

§ 3 Definitionen

Die Betriebsparteien haben sich auf folgende Definitionen beim Thema Datenschutz geeinigt:

• Personenbezogene und / oder personenbeziehbare Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person im Sinne des Bundesdatenschutzgesetzes.
• Das Verarbeiten sind das Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener und / oder personenbeziehbarer Daten im Sinne des Bundesdatenschutzgesetzes.
• Systemfunktionen sind Programme und Programmteile, Auswertungen, Datenfelder, Verarbeitungsanweisungen, Listings und Ähnliches.
• Informations- und Techniksysteme (IT-Systeme) sind Hard- und Software einschließlich sämtlicher Peripheriegeräte, digitale Nebenstellenanlagen, Netze oder webbasierter Systeme.

§ 4 Allgemeine Datenschutzregeln im Betrieb

Die Datenverarbeitung erfolgt auf der Grundlage der gesetzlichen Bestimmungen, insbesondere des Bundesdatenschutzgesetz (BDSG) in der jeweils gültigen Fassung.

1. Alle Mitarbeiter werden eine gesonderte Datenschutzerklärung (Anlage 1) unterzeichnen und vorab eine Einweisung in die wichtigsten Grundregeln des Datenschutzes erhalten. Diese Datenschutzerklärung wird in den der Mitarbeiter abgelegt.
2. Projektmitglieder dürfen Informationen zu personenbezogenen oder personenbeziehbaren Daten, die sie im Rahmen ihrer Projektarbeit erhalten, nicht nach außerhalb ihres Arbeitsbereichs weitergeben.
3. Die Systemadministratoren dürfen innerhalb ihrer Organisationseinheit alle die Maßnahmen selbstständig ergreifen, die in Ihrem Aufgabenbereich zur Aufrechterhaltung des Systembetriebs notwendig sind. Sie dürfen jedoch betriebliche oder persönliche Informationen nicht nach außerhalb ihres Arbeitsbereichs weitergeben. Es ist den Systemadministratoren nicht erlaubt, personenbezogene oder personenbeziehbare Daten oder Dateien aus einem Berechtigungskreis in einen anderen zu übertragen.
4. Alle Systemadministratoren unterzeichnen eine gesonderte, erweiterte Verpflichtungserklärung zum Datenschutz, die in der Personalakte abgelegt wird.
5. Ausnahmen von diesen Datenschutzregeln bedürfen einer gesonderten Vereinbarung.
6. Maßnahmen, die zur Aufrechterhaltung des ordnungsgemäßen Betriebs von Datenverarbeitungs- oder IT-Systemen unaufschiebbar sind, beispielsweise Störungsbeseitigung an Hard- und Software, können vorab durchgeführt werden. Der Betriebsrat ist nachträglich zu informieren.

§ 5 Grundsätze zur Mitarbeiterdatenverarbeitung

1. Bei der Verarbeitung von Personaldaten ist das Persönlichkeitsrecht der Mitarbeiter und das Recht auf informationelle Selbstbestimmung zu beachten. Das bedeutet, dass nicht tiefer in die Persönlichkeitssphäre der Mitarbeiter eingedrungen werden darf, als es im Rahmen der Zweckbestimmung des Arbeitsverhältnisses erforderlich ist. Darüber hinaus ist das berechtigte Interesse der Firma zu berücksichtigen, wonach die Personaldatenverarbeitung in wirtschaftlich sinnvoller Weise im Rahmen der technischen Möglichkeiten durchgeführt werden muss.
2. Das Erheben, Verarbeiten und Auswerten (Nutzen) personenbezogener Daten durch personaldatenverarbeitende Systeme erfolgen nur, soweit dies zur Begründung, Durchführung, Abwicklung und Dokumentation von Arbeitsverhältnissen sowie zur Erfüllung von durch Rechtsvorschriften begründeten Verpflichtungen oder zum Erstellen von eindeutig anonymisierten Auswertungen erforderlich ist.
3. Der Zweck der jeweiligen Anwendung wird dokumentiert. Systeme, die Personaldaten verarbeiten, dürfen nicht zu dem Zweck eingesetzt werden, personenbezogene Daten auf Vorrat, das heißt für einen noch nicht bestimmten oder bestimmbaren Zweck zu erheben, zu verarbeiten oder auszuwerten. Sensible Persönlichkeitsdaten, beispielsweise über die religiöse oder politische Gesinnung, werden nicht erhoben. Daten über die Zugehörigkeit zu Religionsgemeinschaften, Parteien oder politischen Vereinigungen dürfen nur verarbeitet werden, soweit dies durch eine Rechtsvorschrift ausdrücklich angeordnet wird.
4. Eine automatisierte Verknüpfung von Daten der Mitarbeiter zum Zweck der Erstellung von Persönlichkeitsprofilen findet nicht statt.
5. Personaldaten sollen nicht länger als erforderlich auf maschinell verwertbaren Datenträgern gespeichert werden. Die erforderlichen Festlegungen werden unter Berücksichtigung rechtlicher Vorgaben, betrieblicher Erfordernisse, von Nachweispflichten gegenüber dem einzelnen Mitarbeiter sowie unter Berücksichtigung der verfügbaren alternativen Form der Datenspeicherung gemeinsam mit dem Betriebsrat vorgenommen.
6. Unzulässig gespeicherte Daten dürfen weder weiterverarbeitet noch ausgewertet werden. Sie sind umgehend zu löschen. Ausnahmen bedürfen der Zustimmung des Betriebsrats.

§ 6 Rechte der Mitarbeiter

1. Die Mitarbeiter werden über den Inhalt dieser Betriebsvereinbarung via Intranet informiert. Sie wird zusätzlich allgemein zugänglich am Schwarzen Brett veröffentlicht.
2. Jeder Mitarbeiter erhält auf Wunsch einen Ausdruck aller über ihn gespeicherten relevanten Daten in verständlicher Form. Im Übrigen gelten die im Bundesdatenschutzgesetz geregelten „Rechte der Betroffenen“ in der jeweils gültigen Fassung.

§ 7 Schlussbestimmungen

1. Gesetzliche und tarifvertragliche Regelungen, die den Anwendungsbereich dieser Betriebsvereinbarung betreffen, gehen vor.
2. Diese Vereinbarung tritt mit Unterzeichnung in Kraft.
3. Diese Vereinbarung kann mit einer Frist von 3 Monaten zum Ende eines Kalendermonats gekündigt werden.
4. Eine Nachwirkung wird ausgeschlossen.

(Ort/Datum)

Für die Geschäftsleitung       Für den Betriebsrat
…………………………………             …………………………………