Datenschutz: Mitarbeiter-Details intern einsehbar

Der Nutzen der Daten spielt keine Rolle.

Die Mitbestimmung des BR wird schon allein dadurch ausgelöst, dass eine Software allein das Potenzial haben muss, bestimmte Leistungs- und Verhaltenskontrollen durchführen zu können. Die Absicht dahinter ist rechtlich nicht relevant.

Missachtet der AG hier das Mitbestimmungsrecht, kann der BR einen Unterlassungsanspruch geltend machen, der bis zur Abschaffung bzw. Rückabwicklung dieses Systems führen kann.

In diesem Fall würde ich aber noch ein ganz anderes Problem sehen. Der AG darf nur derartige personenbezogene Daten speichern, die für die Aufnahme, Durchführung oder Beendigung des Arbeitsverhältnisses notwendig sind. Für alles was darüber hinausgeht, müsste der AN seine Einwilligung erteilen. Insofern sind durch DSGVO und BDSG enge Leitplanken gesetzt.

Das kann man doch garantiert in Bereiche untergliedern wo nur bestimmte MA für sie bestimmte Daten sehen dürfen. Wir haben auch ein ähnliches Programm wo alles gespeichert ist. Dies ist aber so eingestellt das die MA nur diese Daten einsehen können die sie für ihre Arbeit brauchen.

Habt ihr einen Datenschutzbeauftragten?

Bitte mal folgendes durchlesen, sollte auch dein Chef mal lesen! https://www.datenschutz.org/datenschutzbeauftragter-ab-wann/

Mich gruselt es schon bei dem Gedanken.....soll demnächst Eigeführt werden. Der BR hier in der Mitbestimmung nach § 87 Abs. 1 Nr. 6 Hier würde ich den AG auffordern sich umgehend mit dem BR in Verbindung zu setzen um mit diesem einen Betriebsvereinbarung zu erarbeiten und erst nach Abschluss dieser BV das Warenwirtschaftsprogramm eingeführt werden darf. Sollte der AG sich nicht dran halten das der BR eine einstweilige Verfügung auf Unterlassung bei Gericht erwirken wird.. Daten wie hier von dir genannt dürfen in einem Warenwirtschaftsprogramm nicht eingepflegt oder oder verknüpft werden. Ist euch die Sache eine Nummer zu groß, könnt ihr auch einen Sachverständigen mit hinzu ziehen (richtigen Beschlüsse vorab fassen): Tipp: In einer BV solltet ihr immer festlegen Wer Schreib, wer Leserechte oder beides in dem Programm hat. Mindestens eine Person aus dem BR sollte auch Leserechte haben.

https://www.betriebsrat.com/wissen/betriebsrat/mitbestimmung

Auf jeden Fall ist das ein klarer Verstoß gegen die DSGVO. So etwas ist justitiabel und strafbewehrt. Vielleicht interessiert das deinen Chef eher.

Das Warenwirtschaftssystem ist noch gar nicht eingeführt, jetzt stellt sich die Frage, was der TE überhaupt gesehen haben will. Selbstverständlich sind Berechtigungsgruppen etc. zu vergeben, alleine die Frage, wer Zugriff auf sensible Umsatz-/Ertragszahlen haben darf etc.

Es geht ja auch nicht darum, dass irgend etwas eingeführt wird und dafür entsprechende Daten gespeichert werden.

Es geht darum, dass nicht irgend ein AG mit dem Intellekt von 2m Feldweg mit irgendwas einführen kann, ohne das BetrVG, die DSGVO oder das BDSG zu beachten.

Dass diverse Schutzrechte der MA nicht ohne Grund gesetzlich verankert sind,wird aber eben in keinen AG-Kopf gehen, der nur mit einem weichen Brötchen gefüllt ist.

Und irgendwann wundert er sich dann, dass eine Verfehlung mit persönlicher Haftung dabei ist und er die Konsequenzen zu tragen hat.

Und im weiterem kann es nicht sein das der AG erst was einführt und dann den BR unterrichtet. Umgekehrt wird ein Schuh draus.

Und der BR entscheidet über die Einführung eines Warenwirtschaftssystemes ... alles klar

Das irgendwelche Datenschutzverordnungen nicht beachtet wurden, behauptet lediglich der TE, heutzutage hat jede moderne Software entsprechende Einstellungen für Berechtigungsgruppen, von daher zweifle ich diese Aussage sehr stark an und umgekehrt macht der Brötchenvergleich schon Sinn.

@Schönauer Wie du vielleicht bemerkst, hat nicht unbedingt jeder der hier schreibt Ahnung von Gesetzen.

... nicht jeder geht einer regelmäßigen Beschäftigung nach ...

"Aber jetzt ist es so, dass Konto-Daten, Geburtsdatum, Adresse, Krankenversicherung, und mehr, im Warenwirtschaftssystem eingetragen sind und alle Mitarbeiter Einsicht haben. Also jeder MA kann die Daten jeden MA's sehen. Jeder MA kann auch meine Kontonummer bspw. sehen."

Wenn das so ist, dann verstößt das gegen jede Menge Regeln. Der AG muss diese Daten (sofern er sie erheben und speichern darf, vor der Einsicht bzw. dem Zugriff von Unbefugten schützen.

Was diese Daten in einem Warenwirtschaftssystem zu suchen haben, wird er dann demnächst einem Richter erklären können.

"Das Warenwirtschaftssystem ist noch gar nicht eingeführt, jetzt stellt sich die Frage, was der TE überhaupt gesehen haben will. Selbstverständlich sind Berechtigungsgruppen etc. zu vergeben, alleine die Frage, wer Zugriff auf sensible Umsatz-/Ertragszahlen haben darf etc."

Anstatt die ganze Zeit vor sich hinzuträumen, könnte man ja einfach mal das Gehirn einschalten. Könnte es vielleicht sein, das der TE ein BRM ist und somit schon sehen kann, was da für Daten drin sind und wer die alles sehen kann? Klar ... das muss nicht so sein.

Aber es ist eben auch völlig dumm, hier einfach mal zu behaupten "das ja alles total einwandfrei sei, weil solche Systeme ja total mega dolle Datenschutzmechanismen haben". Klar haben sie das ... aber eben auch nur, wenn man sie benutzt. Und das ist eben nicht immer gegeben, bzw. hat der AG hier durch seine Aussage schon klar gemacht, das diese Daten offensichtlich von jedem MA eingesehen werden können und dass dies dem AG auch völlig egal ist.

@alle: danke schon mal für die zahlreichen Antworten!

Also was vllt nicht ganz klar war: das System welches eingeführt wird, ist abgesegnet, wird also definitiv eingeführt werden und bevor es aktiv genutzt werden kann, können wir alle schon mal reinsehen und gucken, wie es funktioniert.

Darum habe ich und ein weiterer Mitarbeiter eben diese empfindlichen Daten entdeckt. Also auch ein Nicht-BR-Mitglied kann alles sehen. Einfach jeder!

Die Firma ist an und für sich echt super und keiner will jetzt mit Anzeige oder sowas drohen. Aber dem Chef ist das Ausmaß wohl nicht klar...

Einen Datenschutzbeauftragten haben und brauchen wir gesetzl. nicht, weil es ein sehr kleiner Betrieb ist (ca. 20 MA)... Solch ein Beauftragter scheint unnötig :-/

Ich frage mich ernsthaft was Nachtaufbleiber1 dazu treibt immer alles ins Lächerliche zu ziehen wenn hier jemand was nachfrägt. Der TE ist vielleicht BR und jede Software ist in der Mitbestimmung. Ganz aktuell: Eine Arbeitskollegin hat hier eine Anzeige am Hals weil sie ein Paket bestellt hat aber nie bekommen hat. Das Paket hat irgendwer bekommen. Jetzt hat der, der das Paket erhalten hat versucht einer anderen (3. Person) zu schaden und den Überweisungsträger mit den Kontodaten der 3. Person ausgefüllt. Die hat jetzt Anzeige gegen die Arbeitskollegin wegen Urkundenfälschung erstattet. Der Threadersteller hat Angst, dass solche oder ähnliche Fälle eintreten können. Ich vermute mal, dass es in vielen Firmen Listen gibt (Excel) wo schützenswerte Daten drinstehen und die jeder einsehen kann (z.B. Geburtstagsliste). Die DSGVO ist halt ein Gesetz und das muss (in irgendwelchen Träumen nicht) eingehalten werden.

@nicht brauchen Das versteht nur er selbst in seiner Bubble...

In seinen Träumen, weit entfernt und sacht Schwebt er dahin, stört uns bei Tag und Nacht Seine Gedanken, für uns eine Qual und Pein, Der Tagträumer lässt uns nicht in Ruhe allein

Dann solltet ihr mal auf den Punkt genau ermitteln wie viele MA ihr seit, denn ab 20 MA ist ein Datenschutzbeauftragter gesetzlich vorgeschrieben. Ein ca reicht da nicht aus. Und Datenschutzbeauftragten hin oder her, nichts setzt die DSGVO außer Kraft. Die genannten Daten hier von Dir haben allesamt in einem Warenwirtschaftsprogramm nichts zu suchen. Ich behaupte jetzt einmal das dort nicht mal die Klarnamen der einzelnen MA die damit arbeiten auftauchen dürfen, sondern lediglich dessen Personalschlüsselnummer und nur ein ganz ganz enger Kreis darf da hinter der Personalschlüsselnummer schauen.

Hatte was vergessen: I. Wann muss ein Datenschutzbeauftragter bestellt werden? Ab der Anzahl von zwanzig Mitarbeitern, die im Betrieb ständig und automatisiert personenbezogene Daten verarbeiten, ist verpflichtend ein Datenschutzbeauftragter zu benennen. Zu den Mitarbeitern zählen hierbei Voll- und Teilzeitkräfte, Leiharbeitnehmer, Auszubildende, freie Mitarbeiter und Praktikanten sowie Beschäftigte im Home-Office oder in Tele-Arbeit. Wichtig dabei ist, dass die Mitarbeiter regelmäßig und „automatisiert“ Daten verarbeiten, also zum Beispiel Kundenbetreuer, Callcenter-Mitarbeiter oder Personalabteilung, und zwar per PC, Tablet, Smartphone. Nicht gemeint sind Personen, die keinen oder nur selten mit personenbezogenen Daten umgehen, wie Lager-Arbeiter, Reinigungskräfte oder LKW-Fahrer.

Habt ihr denn wenigstens ein VVT bekommen?

@Meph1977: ich bin noch neu im Forum, was ist ein VVT? @Dummerhund: habe nachgezählt. Von 27 MA sind nur 8 MA mit dem Warenwirtschaftssystem betraut. Die übrigen MA gucken nur selten rein...

VVT heißt Verzeichniss für Verarbeitungstätigkeiten. Dass muss quasi immer erstellt werden. Es gibts zwar auch Ausnahmetatbestände die kommen aber so selten zum tragen das man sagen kann es muss immer eins erstellt werden. siehe auch hier. https://www.mein-datenschutzbeauftragter.de/blog/verzeichnis-von-verarbeitungstaetigkeiten/

Aufgrund der Tatsache das du da nachfragen musstest würde ich aber mal dringend empfehlen mal ein Mitglied des Gremiums auf ne Schulung zum Thema Datenschutz zu schicken.

Edith sagt: Ok eben erst gelesen. Nur 27 Mitarbeiter da würde ich vielleicht darauf verzichten aber intensiv selber nachforschen, weil die sind nicht billig die Schulungen

@meph1977: Wow... also so langsam glaube ich, die Firma verstößt gegen unzählige Vorschriften... ich muss das glaub mal dringend ansprechen und auch klarstellen, dass Aussagen wie "ist doch nicht schlimm", "wo kein Richter, da kein Henker" oder "da kräht doch kein Hahn danach" nicht so toll kommen, wenn tatsächlich mal eine Betriebsprüfung stattfindet, oder jemand Anklage erhebt...

@Schönauer Es geht nicht darum wie viele MA in das Warenwirtschaftsprogram rein schauen können, sondern wie viele MA im Betrieb beschäftigt sind. Mit 27 MA seit ihr eindeutig über der Schwelle von ab 20 MA. Ein Datenschutzbeauftragter ist also Plicht. Ob man das für Sinnvoll hält oder nicht ist irrelevant. Daher verstößt der AG gegen ein Gesetz und zusätzlich noch gegen die DSGVO. Ein BR ist dafür da, darüber zu wachen das solche Sachen nicht vor kommen und das MA geschützt werden, da kann man auch nicht sagen, naja wegen so einer Kleinigkeit wollen wir keine Anzeige machen. Sorry, aber dann seit ihr ja nicht besser als wie der AG. Und welchen Satz von eurem AG ich für ganz gefährlich halte: "Und als ich den Chef darauf hinwies, meinte er nur, keiner könne etwas (schlimmes) mit meinen Daten anstellen, sie seien quasi unnütz. " Euer AG kann also genau in die Köpfe der MA guggen und weiß genau wer in ein paar Jahren vor und in dem Programm arbeitet. Genau so gut könnte der AG sagen, schreibt mir bitte alle eure Konto-Daten, Geburtsdatum, Adresse, Krankenversicherung, und mehr auf ein Blatt Papier und hängt es ans schwarze Brett.

"Es geht nicht darum wie viele MA in das Warenwirtschaftsprogram rein schauen können, sondern wie viele MA im Betrieb beschäftigt sind."

Sehe ich nicht so ... siehe:

"Ab der Anzahl von zwanzig Mitarbeitern, die im Betrieb ständig und automatisiert personenbezogene Daten verarbeiten, ist verpflichtend ein Datenschutzbeauftragter zu benennen."

@Dummerhund: aaaah, ein Missverständnis. Wir haben erst seit wenigen Wochen einen Betriebsrat. Schulungen sind bereits an der Tagesordnung und ich informiere mich über alles, wo ich nur kann. Aber wir stehen einfach erst am Anfang....

@celestro Recht haste....lesen bildet. Lach.

Was hat sowas in einem Warenwirtschaftssystem zu suchen? Neben den ganzen DSGVO-problematiken ist das ja auch ein Käse!

Moin moin zusammen, ich habe jetzt meinen Cehf erneut darauf angesprochen, dass ich die Daten aller MA sehe. Er meinte, wo sei das Problem. Ich erwähnte den Datenschutz und dass jeder MA einfach meine Kontonr. haben kann, etc. Und er fühlte sich wohl angegriffen, wurde ein klein wenig lauter und meinte, was soll den der Kollege mit meinen Kontodaten anstellen? Ich erwähnte, dass wir MA sogar unterschreiben lassen, wenn wir ihre Fotos nutzen, wie kann da die KontoNr weniger wichtig sein? Er meint jetzt, ich suche nach Problemen, wo keine sind.... Jetzt schäme ich mich beinahe, dass er sauer auf mich ist. Er ist nämlich sonst immer die Nettigkeit in Person. Aber wenn er es doch nicht weiß, ob es rechtens oder illegal ist, warum sagt er dann nicht sowas wie "Ich muss mich erst schlau machen"?

@Schönauer

Ich würde dem Chef mal, als freundschaftlichen Rat verpackt, Art. 82 Abs. 3 DSGVO zeigen und auf mögliche Haftungsprobleme hinweisen.

Wenn es nicht Du bist der das große Rad drehen mag, dann läuft vielleicht irgendwann ein anderer los, der z.B. seine IBAN nicht preisgeben möchte.

Und wenn es Dein Chef ist, der bei der Entscheidung über die Einführung der Software mit den Hut auf hat, dann kann es durchaus sein dass ihm Absatz 2 um die Ohren fliegt und er u.U. persönlich in die Haftung genommen wird.

Ob er dieses Risiko eingehen möchte?

Ich würde ihm klar machen, dass es hier nicht um Korinthenkackerei geht, sondern um den Schutz der Persönlichkeitsrechte der Beschäftigten, und in letzter Konsequenz auch um empfindliche Konsequenzen für die Entscheidungsträger. Du würdest somit nicht nur die Beschäftigten schützen, sondern auch den Chef bzw. das Unternehmen aus der Schusslinie nehmen.

Sein Problem ist, er will den bequemsten und kostengünstigsten Weg gehen. Ein Häkchen im System setzen und schon ist zwischen Warenwirtschaftsprogramm und Und Personaldatenstamm die Verknüpfung hergestellt. Der Arbeitsprozess die Namen im Warenwirtschaftsprogramm so ein zu pflegen das am Ende nur die Namen in Form der Personaldatennummer erscheinen dauert halt ein wenig länger. Kommt in ferner Zukunft wieder ein neues Programm müsste er es dann wieder so machen und und und. Deshalb rate ich immer, zu jedem neuen Programm oder System eine neue BV zu erstellen. Und erst wenn die steht dann darf der AG es starten. Ich erinnere immer wieder gerne an unsere Verhandlungen zur Einführung von SAP. Bis die BV stand vergingen 1,5 Jahre . Wir hatten auch noch einen Sachverständigen auf unserer Seite der uns alles erklärte und am PC zeigte was hinter den Masken noch für Verknüpfungen erstellt werden könnte. Wir haben letztendlich unsere Forderungen durchgesetzt. Wäre der AG nicht drauf eingegangen hätte er nur bis zum Start SAP 4,5 MIO Euro in den Sand gesetzt.