Arbeitnehmerdatenschutz in IT-Entwicklungsprojekten: Datenschutzrechtliche Vorgaben bei der Entwicklung und Einführung von Personalinformationssysteme

Personalabteilungen in Unternehmen nutzen heute leistungsfähige IT-Systeme in nahezu jedem Tätigkeitsgebiet des Personalmanagements. Ihr Einsatzbereich beginnt bei der Bewerberauswahl und reicht bis hin zur betrieblichen Ruhegeldversorgung nach Ausscheiden aus dem Arbeitsverhältnis. Solche Personalinformationssysteme befassen sich überwiegend mit Daten, die unmittelbar oder mittelbar mit dem Beschäftigten in Beziehung stehen. Der Umgang mit diesen Daten ermöglicht dem Arbeitgeber ein erhebliches Maß an Leistungs- und Verhaltenskontrolle seiner Mitarbeiter und berührt mithin die Persönlichkeitsrechte der Betroffenen. Zum Schutz der Arbeitnehmerdaten dienen die Datenschutzgesetze sowie auf kollektivrechtlicher Ebene das Betriebsverfassungsgesetz. Die Einhaltung der Datenschutzgesetze wird durch die Landesaufsichtsbehörden gewährleistet und ein Verstoß mit Bußgeldern sanktioniert. Dem Betriebsrat des Unternehmens stehen bei Verletzung seiner Mitbestimmungsrechte unter Umständen Unterlassungsansprüche zu, mit denen er die Durchführung von Maßnahmen des Arbeitgebers verhindern kann. Diese Studie ist ein Leitfaden, der den für die Entwicklung und Einführung von Personalinformationssystemen Verantwortlichen im Unternehmen das erforderliche datenschutzrechtliche Wissen vermittelt, spezifische Hinweise gibt und das Augenmerk für datenschutzrelevante Sicherheitslücken und Bedrohungen durch den Einsatz des Systems schult. Anhand eines an die datenschutzrechtlich relevanten Aspekte angepassten Phasenmodells werden die für jede Phase (Planung, Analyse, Konzeption, Realisierung, Einführung und Nutzung) typischen Fragestellungen, die bei der Entwicklung und Einführung eines Personalinformationssystems auftreten, untersucht und beispielhaft Lösungen aufgezeigt. Es werden zum einen datenschutzrechtliche Themen des Entwicklungs- und Einführungsprozesses als solches untersucht und zum anderen werden die Vorgaben geprüft, denen das Anwendungssystem am Ende seiner Entwicklung nach den Datenschutzgesetzen entsprechen muss, um einen ordnungsgemäßen Umgang mit den personenbezogenen Daten der Belegschaft zu gewährleisten.