Vorbereitung der Betriebsvereinbarung
Empfohlenes Vorgehen
Phase 1: Nutzungsszenarien erfassen
Bevor Formulierungen verhandelt werden, sollte die Einrichtung die geplante Nutzung vollständig beschreiben.
- Welche Probleme soll OSIRIS lösen?
- Welche Berichte müssen erstellt werden?
- Welche Inhalte sollen öffentlich erscheinen?
- Welche Daten werden aus anderen Systemen übernommen?
- Wer trägt Daten ein?
- Wer prüft oder korrigiert sie?
- Welche Rollen benötigen personenbezogene Sicht?
- Welche Auswertungen stehen bereits fest?
- Welche Funktionen sollen ausdrücklich nicht verwendet werden?
Ergebnis: abgestimmte Zweck- und Prozesslandkarte.
Phase 2: Daten und Zugriffe inventarisieren
Für jedes Nutzungsszenario werden Datenquellen, Datenkategorien, Rollen, Empfänger und Aufbewahrung erfasst.
Ergebnis: Datenlandkarte, Rollenmatrix, Berichtskatalog und erster Entwurf des Löschkonzepts.
Phase 3: Entscheidungen treffen
Arbeitgeber, Betriebsrat, Datenschutz, IT und Fachverantwortliche entscheiden gemeinsam über die offenen Gestaltungsfragen dieses Leitfadens.
Ergebnis: dokumentierte Entscheidungen mit Begründungen.
Phase 4: Dokumente erstellen
Auf Grundlage der Entscheidungen werden Betriebsvereinbarung, VVT, Berechtigungskonzept, Löschkonzept, Betriebskonzept und Datenschutzhinweise erstellt oder aktualisiert.
Phase 5: Konfiguration und Abnahme
Die vereinbarten Regeln werden technisch umgesetzt und anhand realistischer Rollen und Testfälle geprüft.
Phase 6: Einführung und Betrieb
Beschäftigte werden verständlich informiert und geschult. Zuständigkeiten für Support, Änderungen, Kontrollen und regelmäßige Überprüfung sind benannt.
Interne Verantwortlichkeiten
Die konkreten Bezeichnungen können abweichen. Entscheidend ist, dass jede Aufgabe einer Rolle und möglichst einer benannten Person zugeordnet wird.
| Rolle | Hauptverantwortung |
|---|---|
| Einrichtungsleitung | Ziele, zulässige Zwecke, Ressourcen und verbindliche Entscheidungen |
| OSIRIS-Projektleitung | Koordination, Dokumentation, Termin- und Entscheidungsmanagement |
| Betriebs- oder Personalrat | Mitbestimmung, Schutzinteressen, Kontrolle der Vereinbarung |
| Datenschutzbeauftragte | datenschutzrechtliche Beratung und Kontrolle |
| Informationssicherheit | Risikobewertung und technische Schutzanforderungen |
| IT-Betrieb | Hosting, Identitätsmanagement, Backups, Updates und Wiederherstellung |
| Fachadministration | Konfiguration, Rollen, Datenmodell und fachlicher Support |
| Berichtswesen/Controlling | Berichtszwecke, Empfänger, Exporte und Datenminimierung |
| Bibliothek/Forschungsmanagement | Datenqualität, bibliographische und fachliche Prozesse |
| Personalverwaltung | Stammdaten, Eintritt, Wechsel und Austritt |
| Kommunikation/Webredaktion | öffentliche Profile und Veröffentlichungsprozesse |
| Rechtsberatung | Prüfung strittiger oder besonders risikoreicher Regelungen |
Todo-Liste für die interne Klärung
Ziele und Geltungsbereich
- Einrichtungsleitung: verbindliche Ziele von OSIRIS beschreiben.
- Projektleitung: alle vorgesehenen Nutzungsszenarien sammeln.
- Betriebsrat und Datenschutz: Zwecke auf Erforderlichkeit und Risiken prüfen.
- Personalverwaltung: betroffene Beschäftigtengruppen bestimmen.
- Projektleitung: Umgang mit Gästen, Stipendiat:innen, ehemaligen Beschäftigten und externen Mitwirkenden klären.
Daten und Schnittstellen
- Fachadministration: vollständige Liste der Datenkategorien erstellen.
- IT: Quell- und Zielsysteme sowie Schnittstellen dokumentieren.
- Datenschutz: freiwillige, verpflichtende und besondere Datenkategorien unterscheiden.
- Fachbereiche: Erforderlichkeit der einzelnen Datenkategorien begründen.
- Kommunikation: extern sichtbare Daten und Veröffentlichungswege festlegen.
Rollen und Auswertungen
- Fachadministration: Rollen-Rechte-Matrix aus der tatsächlichen Konfiguration exportieren oder erstellen.
- Fachbereiche: fachlichen Bedarf für jede Rolle begründen.
- Berichtswesen: alle regelmäßigen und anlassbezogenen Berichte inventarisieren.
- Betriebsrat: personen-, projekt- und abteilungsbezogene Auswertungen bewerten.
- Datenschutz: Exporte, Empfänger und Weiterverwendung prüfen.
Aufbewahrung und Ausscheiden
- Fachbereiche: fachliche und rechtliche Aufbewahrungsbedarfe benennen.
- Datenschutz: Löschung, Anonymisierung und Archivierung voneinander abgrenzen.
- IT und Fachadministration: technische Umsetzbarkeit der Fristen prüfen.
- Personalverwaltung: verlässlichen Austrittsprozess definieren.
- Projektleitung: Verantwortliche und Nachweise für regelmäßige Löschläufe bestimmen.
Einführung und laufender Betrieb
- IT: Sicherheits- und Wiederherstellungskonzept dokumentieren.
- Projektleitung: Schulungs- und Kommunikationskonzept erstellen.
- Betriebsrat und Datenschutz: Abnahmetests definieren.
- Einrichtungsleitung: Änderungs- und Freigabeverfahren beschließen.
- Projektleitung: jährlichen oder zweijährlichen Review-Termin einplanen.
Entscheidungen nachvollziehbar dokumentieren
Ein kurzes Entscheidungsprotokoll verhindert, dass dieselben Grundsatzfragen später erneut und ohne Kontext diskutiert werden. Es sollte nicht nur das Ergebnis, sondern auch die verworfenen Alternativen und die Begründung enthalten.
| Feld | Inhalt |
|---|---|
| Entscheidungs-ID | eindeutige, dauerhaft verwendete Kennung |
| Fragestellung | konkret zu entscheidender Sachverhalt |
| Ausgangslage | fachlicher Bedarf und betroffene Prozesse |
| Optionen | geprüfte Alternativen |
| Risiken und Vorteile | Auswirkungen auf Beschäftigte, Betrieb und Berichtspflichten |
| Beteiligte Rollen | Entscheidung, Beratung und Mitbestimmung |
| Ergebnis | gewählte Option und verbindliche Grenzen |
| Betroffene Dokumente | BV, VVT, Rollenmatrix, Löschkonzept, Betriebskonzept |
| Umsetzung | verantwortliche Person und Termin |
| Review | Auslöser oder Datum für erneute Prüfung |