DSGVO-konformes Intranet: worauf es bei Beschäftigtendaten ankommt

Ein Intranet verarbeitet naturgemäß personenbezogene Daten: Name, Funktion, Kontaktdaten, Abteilung, Urlaubsanträge, mitunter Geburtsdatum und Foto. Diese Daten fallen unter die DSGVO — und für Unternehmen mit Tätigkeit in der Türkei zusätzlich unter das KVKK. Die Auswahl eines Intranets ist damit ebenso eine rechtliche wie eine technische Entscheidung.

Dieser Beitrag ist allgemeine Information; für Ihre konkreten Pflichten wenden Sie sich an Ihre Rechtsberatung.

Mit Datenminimierung beginnen

Die belastbarste Compliance-Strategie sind die Daten, die Sie gar nicht erst verarbeiten. Die Frage bei der Einrichtung lautet schlicht: Wird dieses Feld wirklich gebraucht? Dient ein Geburtsdatum nur der Gratulation, genügen Tag und Monat ohne Jahr. Eine private Mobilnummer sollte nicht erhoben werden, solange ein dienstlicher Anschluss existiert.

Dasselbe Prinzip gilt für Benachrichtigungskanäle: Kanäle, die eine private Nummer verlangen, sollten standardmäßig aus und einwilligungsbasiert sein, während dienstliche Kanäle mit einem Widerspruchsmodell arbeiten können.

Informationspflichten und Versionierung

Mitarbeitende müssen wissen, welche ihrer Daten zu welchem Zweck verarbeitet werden. Ein Intranet sollte das doppelt unterstützen: Der Text muss in der Anwendung erreichbar und er muss versioniert sein. Wird er aktualisiert, ist festzuhalten, wer welche Fassung gesehen hat; andernfalls lässt sich die Information nicht nachweisen.

Betroffenenanfragen

Beschäftigte haben das Recht auf Auskunft und Berichtigung und unter bestimmten Voraussetzungen auf Löschung. Damit solche Anfragen nicht im Postfach untergehen, ist ein nachverfolgbarer Kanal im Intranet praktisch notwendig: Anfrage, Verantwortliche, Status und Reaktionszeit sollten sichtbar sein.

Zugriffsrechte: Ausblenden genügt nicht

Der häufigste technische Fehler ist, ein Feld nur in der Oberfläche auszublenden. Die eigentliche Beschränkung gehört in die Datenschicht; sonst erreicht ein unberechtigter Zugriff diese Information über eine direkte Datenabfrage. Bei der Anbieterbewertung lautet die Frage präzise: „Wer kann dieses Feld nicht sehen, und wo wird das durchgesetzt?" Zeigt die Antwort nur auf die Oberfläche, ist sie unzureichend. Unseren Ansatz beschreiben wir auf der Sicherheitsseite.

Dieselbe Logik gilt für die Mandantentrennung: In einem mandantenfähigen Produkt muss auf Datenbankebene garantiert sein, dass ein Zugriff auf fremde Unternehmensdaten unmöglich ist.

Abläufe, die Anonymität erfordern

Bei Bausteinen wie einem Hinweisgebersystem ist Anonymität keine Vorliebe, sondern Voraussetzung der Nutzung. Der entscheidende Punkt: Anonymität darf nicht dem Client überlassen werden. Fällt die Entscheidung „Identität nicht senden" im Browser, kann der Datensatz dennoch mit Identität ankommen. Richtig ist, die Identität serverseitig im Moment des Schreibens zu entfernen.

Eine ähnliche Schwelle gilt für Puls- und Stimmungsumfragen: Ergebnisse sollten nur oberhalb einer Mindestteilnehmerzahl aggregiert gezeigt werden, damit einzelne Antworten in kleinen Teams nicht rückschließbar sind.

Aufbewahrung und Austritt

Wie lange Daten aufbewahrt werden, gehört schriftlich festgehalten. Was bleibt, wenn das Konto einer ausscheidenden Person geschlossen wird — ihre Ankündigungen, erhaltene Anerkennungen, zugewiesene Arbeitsmittel? Diese Antworten gehören in den Austrittsprozess, und das Intranet sollte diese Schritte nachhalten können.

Hosting und Unterauftragsverarbeiter

Wo die Daten liegen, welche Unterauftragsverarbeiter beteiligt sind und ob eine Drittlandübermittlung stattfindet, sollte vor dem Kauf schriftlich vorliegen. Diese Angaben sind untrennbarer Teil der Sicherheitsfragen aus unserem Auswahlleitfaden.

Nachweisbarkeit: das Protokoll

Die am häufigsten übersehene Dimension von Compliance ist, dass die Arbeit nachweisbar sein muss. In einer Prüfung genügt „wir haben die Datenschutzhinweise veröffentlicht" nicht; Sie müssen zeigen können, wer welche Fassung wann gesehen hat, wann eine Betroffenenanfrage einging und in wie vielen Tagen sie beantwortet wurde.

Deshalb zählt der Umfang des Protokolls: Rechteänderungen, Zugriffe auf sensible Daten, Exporte mit Personenbezug und Löschungen sollten mindestens erfasst werden. Vom Protokoll selbst wird erwartet, dass Manipulationen erkennbar sind; ein nachträglich änderbares Journal hat keinen Beweiswert.

Die Exportfunktion verdient eigene Aufmerksamkeit: Ein Recht, die gesamte Mitarbeiterliste herunterzuladen, ist praktisch ein Datenabflussrisiko und sollte nur den Rollen offenstehen, die es brauchen.

Kurze Prüfliste

• Hat jedes erhobene Feld eine Begründung?
• Sind die Datenschutzhinweise versioniert und erreichbar?
• Gibt es einen nachverfolgbaren Kanal für Betroffenenanfragen?
• Werden Berechtigungen in der Datenschicht durchgesetzt?
• Wird die Identität in anonymen Abläufen serverseitig entfernt?
• Sind Aufbewahrungsfristen und der Austrittsprozess definiert?

Bei Fragen zur Compliance schreiben Sie uns.