Zum Inhalt

Der stabile Kern einer Betriebsvereinbarung

Die folgende Struktur eignet sich als Ausgangspunkt. Veränderliche Einzelheiten sollten nur dort in den Vertrag aufgenommen werden, wo ihre besondere Verbindlichkeit den höheren Pflegeaufwand rechtfertigt.

Formulierungen sind Diskussionsgrundlagen

Die folgenden Beispiele sind keine rechtlich geprüften Musterklauseln. Sie sollen zeigen, welche Regelungsabsicht präzisiert werden sollte.

1. Präambel und gemeinsame Ziele

Die Präambel sollte den Nutzen von OSIRIS und den Schutz der Beschäftigten gleichrangig beschreiben. Geeignete Ziele sind:

  • Forschungsinformationen nur einmal strukturiert erfassen;
  • Berichtspflichten effizient erfüllen;
  • Datenqualität und Transparenz verbessern;
  • öffentliche Forschungsleistungen sichtbar machen;
  • Zusammenarbeit und Open Science unterstützen;
  • Schutz vor Zweckentfremdung und Leistungsüberwachung gewährleisten.

2. Geltungsbereich

Zu bestimmen sind:

  • räumlicher und organisatorischer Geltungsbereich;
  • betroffene Beschäftigtengruppen;
  • Umgang mit Gästen, externen Personen und ehemaligen Beschäftigten;
  • erfasste Systembestandteile und Umgebungen;
  • Verhältnis zu bestehenden Vereinbarungen.

3. Begriffe

Wichtige Begriffe sollten einheitlich definiert werden:

  • Forschungsinformation;
  • Aktivität oder Leistung;
  • personenbezogene Daten;
  • Pflichtangabe und freiwillige Angabe;
  • interne und öffentliche Sichtbarkeit;
  • Bericht, Export und Schnittstelle;
  • fachliche und technische Administration;
  • wesentliche Systemänderung.

4. Zulässige Zwecke

Die Zwecke sollten konkret, verständlich und möglichst abschließend sein, beispielsweise:

  • Dokumentation wissenschaftlicher und wissenschaftsnaher Aktivitäten;
  • Erfüllung definierter institutioneller Berichtspflichten;
  • Erstellung persönlicher Übersichten durch die betroffene Person;
  • Forschungsplanung in festgelegten, geschützten Verfahren;
  • Qualitätssicherung der erfassten Metadaten;
  • öffentliche Darstellung freigegebener Forschungsinformationen.
Beispiel einer Zweckbegrenzung

OSIRIS wird ausschließlich für die in dieser Vereinbarung und ihren geregelten Anlagen beschriebenen Zwecke eingesetzt. Eine Nutzung für weitere Zwecke ist erst nach Durchführung des vereinbarten Änderungs- und Beteiligungsverfahrens zulässig.

5. Ausgeschlossene Zwecke

Insbesondere sollte geklärt werden, ob folgende Nutzungen ausgeschlossen werden:

  • individuelle Leistungs- und Verhaltensbewertung;
  • Rankings oder Wettbewerbe zwischen Beschäftigten;
  • automatisierte Personalentscheidungen;
  • Sanktionen allein aufgrund fehlender oder verspäteter Einträge;
  • nicht freigegebene Verknüpfung mit Personal-, Zeit- oder Kommunikationsdaten;
  • personenbezogene leistungsorientierte Mittelvergabe;
  • Nutzung technischer Protokolle für fachliche Verhaltenskontrolle.
Beispiel eines Kontrollausschlusses

Personenbezogene Daten aus OSIRIS dürfen nicht zur Überwachung oder Bewertung des Verhaltens oder der individuellen Arbeitsleistung verwendet werden. Insbesondere sind personenbezogene Rankings, verdeckte Nutzungsanalysen und automatisierte Personalentscheidungen unzulässig. Abschließend vereinbarte Ausnahmen müssen Zweck, Datenumfang, Rollen, Schutzmaßnahmen und Speicherdauer ausdrücklich benennen.

6. Datenkategorien und Datenminimierung

Der BV-Kern sollte Kategorien und Prinzipien regeln, nicht zwingend jedes einzelne Feld. Eine versionierte Anlage kann die aktuelle Feldliste enthalten.

Sinnvolle Kategorien sind:

  • dienstliche Stammdaten;
  • Organisationszugehörigkeit;
  • Forschungsaktivitäten und bibliographische Metadaten;
  • Projekte und Förderinformationen;
  • freiwillige Profilinformationen;
  • externe Mitwirkende;
  • Workflow- und Freigabestatus;
  • notwendige technische Protokolldaten.

Für jedes Feld sollte geklärt sein:

  • Zweck;
  • Pflicht oder freiwillig;
  • Quelle;
  • interne Sichtbarkeit;
  • öffentliche Sichtbarkeit;
  • Bearbeitungsberechtigung;
  • Aufbewahrung.

7. Dateneingabe und Verantwortlichkeit

Die Vereinbarung sollte nicht pauschal erklären, dass Beschäftigte für sämtliche „Richtigkeit“ verantwortlich sind. Bei importierten oder durch Prüfende veränderten Daten ist die Verantwortung geteilt.

Zu regeln sind:

  • Eingabepflichten und angemessene Fristen;
  • Arbeitszeit und Unterstützung;
  • Importdaten und Korrekturwege;
  • Vertretung bei Abwesenheit;
  • Umgang mit Konflikten über Zuordnung oder Inhalt;
  • Nachmeldungen nach dem Ausscheiden.

8. Rollen und Berechtigungen

Verbindliche Grundsätze:

  • minimale erforderliche Rechte;
  • Trennung von technischer Administration und fachlicher Nutzung;
  • dokumentierte Vergabe und Entziehung;
  • keine Sammelkonten;
  • regelmäßige Rezertifizierung;
  • besondere Kontrolle von Export- und Administrationsrechten;
  • nachvollziehbarer Zugriff in Supportfällen.
Beispiel für Administrationszugriffe

Technische Administrator:innen dürfen auf personenbezogene Inhalte nur zugreifen, soweit dies für Betrieb, Fehlerbehebung, Sicherheit oder Wiederherstellung erforderlich ist. Fachliche Auswertungen sind mit dieser Rolle nicht zulässig. Anlass und Umfang besonderer Zugriffe werden nach Maßgabe des Betriebskonzepts dokumentiert.

9. Prüf-, Korrektur- und Freigabeverfahren

Zu regeln sind:

  • welche Rollen formal oder inhaltlich prüfen;
  • ob direkt korrigiert oder zurückgegeben wird;
  • wie Änderungen nachvollziehbar werden;
  • wann Einträge gesperrt werden;
  • wie nachträgliche Korrekturen möglich sind;
  • wie Betroffene informiert werden.

10. Berichte, Auswertungen und Exporte

Sollte ein Berichtskatalog gewünscht sein, sollte dieser mindestens enthalten:

Feld Beschreibung
Name des Berichts verständliche Bezeichnung
Zweck konkrete fachliche oder rechtliche Notwendigkeit
Auftraggebende Stelle wer den Bericht veranlasst
Erstellende Rolle wer ihn erzeugen darf
Datenumfang benötigte Felder und Zeitraum
Personenbezug individuell, pseudonymisiert oder aggregiert
Empfänger intern oder extern
Häufigkeit regelmäßig oder anlassbezogen
Aufbewahrung Lösch- oder Archivierungsregel
Weiterverwendung zulässige und ausgeschlossene Folgenutzung

11. Öffentliche Darstellung

Zu bestimmen sind:

  • obligatorischer und freiwilliger öffentlicher Datensatz;
  • Freigabe- oder Widerspruchsmechanismus;
  • Vorschau der öffentlichen Darstellung;
  • Umgang mit Suchmaschinen und Schnittstellen;
  • Korrektur und Widerruf;
  • Sichtbarkeit nach dem Ausscheiden;
  • Verantwortlichkeit der Webredaktion.

12. Datenschutz und Informationssicherheit

Die BV sollte Grundanforderungen festlegen und auf gepflegte Konzepte verweisen:

  • Authentifizierung und Rollensteuerung;
  • verschlüsselte Übertragung;
  • Schutz von Backups;
  • Protokollierung sicherheitsrelevanter Vorgänge;
  • Wiederherstellungstests;
  • Schwachstellen- und Updateprozess;
  • Trennung von Test- und Produktivdaten;
  • Verfahren für Datenschutz- und Sicherheitsvorfälle;
  • Auftragsverarbeitung, falls externe Dienstleistende beteiligt sind.

13. Aufbewahrung, Löschung und Anonymisierung

Der BV-Kern sollte die Prinzipien und Ereignisse regeln. Das Löschkonzept enthält die konkreten Fristen.

Typische Ereignisse:

  • Korrektur eines fehlerhaften Eintrags;
  • Rücknahme oder Ablehnung eines Antrags;
  • Abschluss eines Projekts;
  • Ende einer gesetzlichen oder vertraglichen Aufbewahrung;
  • Widerruf einer freiwilligen Veröffentlichung;
  • Ausscheiden einer Person;
  • Ende des Betriebs von OSIRIS.

14. Rechte der Beschäftigten

Zu berücksichtigen sind:

  • transparente Information;
  • Einsicht in eigene Daten und Sichtbarkeiten;
  • Berichtigung und geregelte Konfliktklärung;
  • leicht erreichbare Einstellungen für freiwillige Angaben;
  • Auskunft über Rollen und Empfänger;
  • Beschwerdewege ohne Nachteile;
  • Unterstützung und Schulung;
  • barrierearme Nutzung.

15. Rechte des Betriebs- oder Personalrats

Mögliche Regelungen:

  • Information über wesentliche Änderungen;
  • Einsicht in aktuelle Dokumentation und Berechtigungskonzepte;
  • nachvollziehbare Kontrollmöglichkeiten unter Wahrung des Datenschutzes;
  • Testzugänge oder geeignete Demonstrationen;
  • Beiziehung von Sachverständigen im gesetzlichen Rahmen;
  • regelmäßiger gemeinsamer Review;
  • Eskalationsverfahren bei Meinungsverschiedenheiten.

Kontrollen sollten möglichst mit Testdaten, Stichproben, Protokollnachweisen oder anonymisierten Übersichten erfolgen. Ein pauschaler Zugriff auf alle personenbezogenen Inhalte ist für viele Kontrollen nicht erforderlich.

16. Änderungsverfahren

Die Vereinbarung sollte enthalten:

  • Änderungskategorien;
  • Kriterien für Wesentlichkeit;
  • Verantwortlichkeit für die Erstbewertung;
  • Beteiligung von Datenschutz, Informationssicherheit und Betriebsrat;
  • Verfahren bei Uneinigkeit;
  • Dokumentationspflicht;
  • Vorgehen bei dringenden Sicherheitsmaßnahmen;
  • regelmäßige Gesamtüberprüfung.

17. Verstöße und Abhilfe

Ein abgestuftes Verfahren ist meist praktikabler als eine automatische vollständige Abschaltung:

  1. Verstoß oder Risiko dokumentieren und zuständige Stellen informieren.
  2. Unzulässige Verarbeitung stoppen oder technisch begrenzen.
  3. Auswirkungen bewerten und gegebenenfalls Betroffene informieren.
  4. Ursache beseitigen und Schutzmaßnahmen nachweisen.
  5. Wiederaufnahme betroffener Funktionen gemeinsam freigeben.

18. Inkrafttreten, Laufzeit und Nachwirkung

Zu regeln sind:

  • Inkrafttreten;
  • Laufzeit und Kündigungsfrist;
  • Nachwirkung;
  • Schrift- oder Textform;
  • Status der Anlagen;
  • regelmäßige Evaluation;
  • Vorgehen bei Unwirksamkeit einzelner Bestimmungen.

Das VVT für OSIRIS erarbeiten

Eine oder mehrere Verarbeitungstätigkeiten?

Ob OSIRIS als eine oder mehrere Verarbeitungstätigkeiten dokumentiert wird, hängt von der Organisation ab. Maßgeblich sind zusammenhängende Zwecke und Prozesse, nicht allein die technische Anwendung.

Geeignet, wenn Erfassung, Qualitätssicherung, Berichterstattung und Veröffentlichung als eng zusammenhängender Gesamtprozess organisiert sind.

Vorteile: kompakt und leichter zu pflegen.

Nachteile: unterschiedliche Rechtsgrundlagen, Empfänger und Fristen können unübersichtlich werden.

Beispielsweise getrennt nach interner Forschungsdokumentation, institutionellem Berichtswesen und öffentlicher Darstellung.

Vorteile: Zwecke, Empfänger und Schutzmaßnahmen lassen sich präziser darstellen.

Nachteile: Abhängigkeiten und gemeinsame Datenbestände müssen konsistent gehalten werden.

Praktische Abgrenzung

Wenn Zwecke, Empfänger, Rechtsgrundlagen, Sichtbarkeiten oder Löschfristen deutlich voneinander abweichen, spricht viel für getrennte oder zumindest klar untergliederte Verarbeitungstätigkeiten.

Pflichtangaben nach Art. 30 DSGVO

Ein VVT des Verantwortlichen enthält insbesondere:

  • Name und Kontaktdaten des Verantwortlichen sowie gegebenenfalls gemeinsam Verantwortlicher;
  • Kontaktdaten der oder des Datenschutzbeauftragten;
  • Zwecke der Verarbeitung;
  • Kategorien betroffener Personen;
  • Kategorien personenbezogener Daten;
  • Kategorien von Empfängern;
  • gegebenenfalls Drittlandübermittlungen und Garantien;
  • wenn möglich, vorgesehene Löschfristen;
  • wenn möglich, allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

Sinnvolle zusätzliche Angaben

Für die interne Steuerung sind häufig weitere Felder hilfreich:

  • fachlich verantwortliche Stelle;
  • eingesetzte Systeme und Schnittstellen;
  • Datenquellen;
  • Rechtsgrundlage je Zweck;
  • Pflicht- und freiwillige Angaben;
  • Auftragsverarbeitende;
  • Bezug zur Betriebs- oder Dienstvereinbarung;
  • Bezug zu Datenschutzhinweisen;
  • Risikobewertung und gegebenenfalls Datenschutz-Folgenabschätzung;
  • Rollen- und Berechtigungskonzept;
  • Lösch- und Aufbewahrungskonzept;
  • Version, Freigabe und nächster Prüftermin.